WordPress 上的加密货币收款插件 CryptoPayment Gateway 曝出一枚 10.0 分漏洞，而且没有补丁。CVE-2026-81648 影响 1.2.1 至 1.2.2 版本——1.2.2 就是当前最新版。成因是一个 AJAX 端点没做授权检查，未认证的访问者就能调用管理员级操作：删除服务器上的任意文件、覆写支付网关配置、把已存储的钱包凭证以明文形式取回。Defused Cyber 已经观察到在野利用尝试。
事件概述
NVD 的描述跟 WP Scan 的记录一致：插件在 1.2.1 到 1.2.2 之间，某一个 AJAX 端点缺少权限校验，导致未认证用户可执行本该只有管理员能做的事。WP Scan 明确标注”无已知修复版本”。
时间线上有个细节值得注意：该插件在 2026 年 8 月 28 日就被 WordPress 插件目录关闭，理由写的是笼统的”security issue”，此后不再提供下载。也就是说漏洞记录在 9 月 13 日发布时，插件其实已经下架了——下架挡的是新安装，挡不住已经装在站上的。官方统计累计下载 1,845 次，近 7 天仍有 20 次下载。
技术细节
CVSS 3.1 向量为 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H，10.0 分。这个分数主要来自 S:C（影响范围越界）叠加三项影响全高：攻击者不需要账号、不需要交互、不需要特殊条件，一个 HTTP 请求就能从 Web 层打到插件托管的数据层。
三类操作分别对应三种损失：
- 覆写支付网关配置：把收款地址换成攻击者的。客户付的钱直接进对方钱包，站点侧订单显示”已支付”，站长要等对账才会发现。
- 明文读取钱包凭证：私钥或助记词一旦泄漏，损失不限于本站流水，而是整个钱包地址上的资产，包括与站点无关的部分。
- 删除任意文件：轻则插件自身文件被删、站点报错，重则删到 wp-config.php 或主题文件，直接把站打瘫。
Defused Cyber 在 X 上公布了观测结果，其中一句很说明问题：记录到的攻击来自”自我标榜为匿名免 KYC 的 VPS 主机商”的基础设施。这类主机商的存在本身就是为了让攻击者难以被追溯，也侧面说明针对 WordPress 支付插件的攻击已经产业化。
影响评估
这类插件的使用者画像很明确：独立站、跨境小电商、接受加密货币付款的内容站。它们的共同点是”装了插件就默认它能用”，很少盯着插件是否还在维护。本次漏洞的危险不在技术复杂度（无需绕过任何防护），而在于没有补丁可打——厂商没有发布修复版本，连等待的时间窗都不存在。
修复建议
- 立即停用并彻底删除插件文件，不要只是”停用”——停用状态下 PHP 文件仍在磁盘上，某些路径仍可被直接访问。
- 把该钱包视为已失守：新建钱包和新种子，把资金转入新地址；旧地址上的授权（如有）一并撤销。
- 审计站点：检查后台是否出现陌生管理员账号、wp_options 中支付相关配置是否被改动、主题与插件文件是否有非预期修改。
- 查 Web 访问日志中对
admin-ajax.php的未登录 POST 请求，重点看 action 参数里带 crypto / payment / wallet 字样的记录。 - 如果站点长期使用该插件收款，逐笔核对历史订单的实际到账地址，不要只看后台状态。
这件事也顺带暴露了 WordPress 插件生态里的一个结构性盲区：插件从官方目录下架后，已经装上的站点不会收到任何提示，后台也不会有”此插件已停止维护”的告警。插件列表里它看起来和其他插件一样正常，直到某天漏洞被公开。对站长来说，定期清理”已下架、长期未更新”的插件，比盯着某个具体 CVE 更有实际意义。