In der Beschreibung der National Vulnerability Database (NVD) des NIST heißt es, das Plugin führe in den Versionen 1.2.1 bis 1.2.2 an einem seiner AJAX-Endpunkte keine Berechtigungsprüfung durch. Dadurch könnten unauthentifizierte Nutzer administrative Operationen auslösen — darunter das Löschen beliebiger Dateien auf dem Server, das Überschreiben der Konfiguration des Zahlungs-Gateways und das Auslesen gespeicherter Wallet-Zugangsdaten im Klartext.
Betroffen sind die Versionen 1.2.1 bis einschließlich 1.2.2, wobei 1.2.2 die aktuellste Fassung ist. Nach Angaben von WP Scan gibt es keine bekannten Korrekturen. Seit dem 28. August 2026 ist das Plugin im WordPress Plugin Directory wegen eines nicht näher bezeichneten „Sicherheitsproblems" geschlossen und steht nicht mehr zum Download bereit.
Den Statistiken zufolge wurde das Plugin insgesamt 1.845 Mal heruntergeladen, davon 20 Mal in den vergangenen sieben Tagen. Ob es auf WordPress-Seiten noch aktiv im Einsatz ist, ist unklar.
„Wir beobachten Ausnutzungsversuche in freier Wildbahn gegen CVE-2026-81648, eine kritische Schwachstelle (CVSS 10.0) im CryptoPayment Gateway für WordPress", teilte Defused Cyber in einem Beitrag auf X mit. „Die von uns erfassten Angriffe kamen von Infrastruktur, die sich selbst als ‚anonymes KYC-freies VPS-Hosting’ vermarktet."
Da kein Patch verfügbar ist, wird Seitenbetreibern geraten, das Plugin zu entfernen, Wallet-Schlüssel zu rotieren und die Installation auf verdächtige Änderungen zu prüfen.