CVE-2026-81648

10Critique

Faits confirmés

Données publiées par NVD. La traduction française est automatique : le texte anglais fait foi.

Le plugin WordPress CryptoPayment Gateway du 1.2.1 au 1.2.2 n'applique pas de vérification d'autorisation sur l'un de ses paramètres AJAX, permettant aux utilisateurs non authentifiés d'invoquer des opérations administratives, y compris la suppression de fichiers arbitraires sur le serveur, l'écrasement de la configuration de la passerelle de paiement et la récupération des identifiants de portefeuille stockés en texte clair.

Texte officiel (anglais)

The CryptoPayment Gateway WordPress plugin from 1.2.1 to 1.2.2 does not apply an authorization check on one of its AJAX endpoints, allowing unauthenticated users to invoke administrative operations, including deleting arbitrary files on the server, overwriting the payment gateway configuration and recovering stored wallet credentials in cleartext.

Versions touchées

Pas encore publiées par NVD. Consultez l’avis de l’éditeur.

Correctif et avis officiels

Statut NVD : Deferred · CWE-862

Notre analyse automatique : en termes simples

Explication générée à partir des données officielles, sans test de notre part. Elle peut simplifier ou se tromper.

Type d’erreur : Contrôle d’accès manquant

Le logiciel ne vérifie pas si la personne a le droit de faire cette action.

Comment elle s’exploite

Un attaquant peut l’exploiter à distance, par le réseau, sans aucun compte, sans action de la victime. L’attaque est simple à réaliser.

Ce qu’un attaquant pourrait faire

lire des données confidentielles
modifier des données ou le système
rendre le service indisponible

Mini glossaire

CVE: Numéro public unique attribué à une faille, pour que tout le monde parle de la même chose.
CVSS: Note de gravité de 0 à 10. Elle mesure la gravité théorique, pas le risque réel chez vous.
CWE: Catégorie du type d’erreur à l’origine de la faille.
KEV: Liste de l’agence américaine CISA recensant les failles réellement exploitées par des attaquants.
Correctif: Mise à jour publiée par l’éditeur pour supprimer la faille.
Atténuation: Mesure temporaire qui réduit le risque quand le correctif n’est pas encore appliqué.

Articles liés

3 nov.06:34

Attaques CryptoPayment Gateway Flaw qui peut exposer les lettres de créances

Les acteurs de la menace tentent d'exploiter une vulnérabilité de sécurité sans support de gravité maximale dans le plugin WordPress CryptoPayment Gateway, selon les résultats de Cyber Défusé. La vulnérabilité en question est CVE-2026-81648, qui porte un score CVSS de 10,0. Une exploitation réussie de la faille pourrait permettre aux utilisateurs non authentifiés de supprimer des fichiers arbitraires sur le serveur et d'extraire

The Hacker News

This product uses data from the NVD API but is not endorsed or certified by the NVD.