10 сентября 2026 года WPScan раскрыла уязвимость CryptoPayment Gateway, затрагивающую версии 1.2.1 и 1.2.2. Посторонний посетитель может обращаться к административным операциям без входа. Известного исправления в карточке нет, поэтому уязвимый плагин нужно убрать с сервера после сохранения необходимых настроек и данных.
CVE-2026-81648 получила оценку 10,0. Проблема связана с AJAX-обработчиком без проверки полномочий. Через него доступны удаление файлов, изменение настроек платёжного шлюза и получение сохранённых данных доступа к кошельку в открытом виде.
Почему одного отключения недостаточно
Исследование WPScan описывает прямое обращение к PHP-файлу внутри каталога плагина. Для части операций требуется, чтобы плагин хотя бы однажды был активирован. Однако один из показанных путей не требует даже этого. Следовательно, отметка «неактивен» в WordPress не является достаточной защитой, пока уязвимые файлы доступны по HTTP.
Удаление произвольного файла может нарушить работу сайта или создать условия для его захвата. Утечка платёжных настроек требует отдельной реакции: простое восстановление удалённого файла не возвращает конфиденциальность уже раскрытых данных.
Что сделать владельцу магазина
Перед удалением сохраните резервную копию и предусмотрите безопасную замену способа оплаты. Убедитесь, что каталог cryptopayment-gateway действительно удалён из веб-доступного размещения, а не только отключён в списке плагинов. Проверьте связанные тестовые установки и старые копии сайта.
Если плагин использовался, пересмотрите сохранённые в нём секреты и замените данные доступа через соответствующие сервисы. Проверьте настройки оплаты, целостность файлов и неожиданные изменения конфигурации. Не публикуйте сами секреты в обращении в поддержку или журнале работ.
Пока подтверждённого исправления нет, возвращать эти версии на рабочий сайт нельзя. В этом случае временная потеря способа оплаты безопаснее сохранения публично доступного административного обработчика.
Почему доступность сайта ещё не означает исправность всех служебных операций, разобрал в материале про ошибки Site Health.
