INFONEWS//CYBER
LIVE
Correctifs Quiz arnaques Mot de passe fuité ?

Fiche CVE

CVE-2026-81648

Faille citée dans 1 info du fil, pour la première fois le 3 novembre 2026. Aucune exploitation n'est confirmée par la CISA à ce jour.

Gravité CVSS10critique
Mentions1dans l'actualité
ExploitéeNon connueà ce jour
RançongicielNon connuusage par des groupes
Risque EPSS0,5 %d'exploitation sous 30 jours

Description

CritiqueCryptoPayment Gateway 1.2.1 - 1.2.2 - Unauthenticated Arbitrary File Deletion and Settings Update via Unguarded AJAX Router
Le plugin WordPress « CryptoPayment Gateway », dans ses versions 1.2.1 à 1.2.2, n'effectue pas de vérification d'autorisation sur l'un de ses points de terminaison AJAX, ce qui permet à des utilisateurs non authentifiés d'effectuer des opérations administratives, notamment de supprimer des fichiers arbitraires sur le serveur, de remplacer la configuration de la passerelle de paiement et de récupérer les identifiants de portefeuille stockés en clair.
Texte d'origine (anglais)

The CryptoPayment Gateway WordPress plugin from 1.2.1 to 1.2.2 does not apply an authorization check on one of its AJAX endpoints, allowing unauthenticated users to invoke administrative operations, including deleting arbitrary files on the server, overwriting the payment gateway configuration and recovering stored wallet credentials in cleartext.

Publiée le 13 septembre 2026 · CVSS 3.1 : 10

Source : fiche officielle CVE.org, traduite automatiquement avec DeepL.

Priorité de correction

À planifierProbabilité d'exploitation faible à ce jour : à corriger lors de la maintenance habituelle.

Le score EPSS estime à 0,5 % la probabilité que cette faille soit exploitée dans les 30 prochains jours : elle est plus risquée que 43 % des failles connues. Ce score ne remplace pas votre propre analyse : un produit exposé sur internet doit être corrigé plus vite.

Source : EPSS (FIRST.org), calcul du 2 novembre 2026.

Produits et versions touchés

ProduitVersions touchées
CryptoPayment GatewayUnknown1.2.1 à 1.2.2

Mettez à jour vers une version postérieure à celles listées, d'après l'avis de l'éditeur.

Correctifs et avis de sécurité

Dans l'actualité

Questions fréquentes

La faille CVE-2026-81648 est-elle exploitée ?

Aucune exploitation n'est confirmée par la CISA à ce jour, mais le score EPSS estime à 0,5 % le risque qu'elle le soit dans les 30 jours.

Quelle est la gravité de CVE-2026-81648 ?

Son score CVSS est de 10 sur 10, soit une gravité critique.

Comment corriger CVE-2026-81648 ?

Installez la mise à jour de sécurité de WordPress CryptoPayment Gateway. Faute de correctif, appliquez les contournements indiqués par l'éditeur ou le CERT-FR.