WordPress, 14 сентября 2026: без логина удаление файлов в CryptoPayment Gateway

Если на сайте стоит CryptoPayment Gateway 1.2.1 или 1.2.2, гость через AJAX без логина удаляет произвольные файлы, переписывает настройки шлюза и читает ключи кошелька открытым текстом. Патча нет, каталог закрыт 28 августа 2026: выключайте. WPScan ставит 10.0.

14 сентября 2026 в NVD легли пять позиций. Первым смотреть slug cryptopayment-gateway. Рядом geniewords, hoo-companion и youram-youtube-embed: скрипт без логина, фикса нет, каталог закрыт. Из этой пачки обновляется только mobile-dj-manager: патч 1.7.8.5, в каталоге уже 1.7.8.7. Если slug в списке нет, эта дыра вас не касается.

Что закрывать сегодня

• CryptoPayment Gateway, slug cryptopayment-gateway, CVE-2026-81648. Без логина удаление файлов, смена настроек шлюза и чтение ключей кошелька. 1.2.1–1.2.2. Патча нет, каталог закрыт 28.08.2026.
• GenieWords, slug geniewords, CVE-2026-74933. Без логина переписывает конфиг и кладёт скрипт на каждую фронтовую страницу. 1.5.27–1.5.34. Патча нет, каталог закрыт 28.08.2026.
• Hoo Companion, slug hoo-companion, CVE-2026-85129. Импорт настроек темы без логина: скрипт плюс снос текущих настроек. 1.0.2. Патча нет, каталог закрыт 4.09.2026.
• YouTube Embed, slug youram-youtube-embed, CVE-2026-88793. AJAX без проверки прав, nonce висит на каждой странице, stored XSS. 10.0–10.3. Патча нет, каталог закрыт 25.07.2025. Не путать со slug youtube-embed.
• MDJM Event Management, slug mobile-dj-manager, CVE-2026-88802. Без логина безвозвратно удаляет произвольные записи, страницы и вложения. Ниже 1.7.8.5. Патч 1.7.8.5, в каталоге 1.7.8.7. Тот же CVE у mobile-events-manager по 1.4.8.3: патча нет, каталог закрыт 5.10.2022.

CryptoPayment Gateway: файлы и кошелёк без логина

Slug из каталога, пакет с 28 августа 2026 закрыт «pending a full review», API wordpress.org отвечает 404. В SVN теги обрываются на 1.2.2, WPScan пишет No known fix. Для CVSS 10.0 без входа ждать понедельник нельзя: если slug в wp plugin list есть, выключайте сегодня.

Судя по опубликованным данным, AJAX-роутер не проверяет права. Гость вызывает административные операции: удаление произвольных файлов, перезапись конфигурации шлюза и чтение сохранённых ключей кошелька открытым текстом. wp plugin update cryptopayment-gateway из каталога этот пакет не подтянет.

Проверка

От пользователя сайта, не от root. Перед продом: копия файлов и базы. Нет slug в списке: пачка к сайту не относится. Из каталога только mobile-dj-manager. Закрытые slug выключить, не удалять сразу.

wp plugin list --fields=name,status,version | grep -Ei 'cryptopayment-gateway|geniewords|hoo-companion|youram-youtube-embed|mobile-dj-manager|mobile-events-manager'
wp plugin get mobile-dj-manager --field=version
wp plugin update mobile-dj-manager
wp plugin deactivate cryptopayment-gateway geniewords hoo-companion youram-youtube-embed mobile-events-manager

Источники и ссылки