Betroffen ist das WordPress-Plugin CryptoPayment Gateway, das Zahlungen mit Kryptowährungen abwickelt. Einer seiner AJAX-Endpunkte prüft nicht, ob der Aufrufer überhaupt dazu berechtigt ist. Dadurch können auch nicht angemeldete Besucher Funktionen auslösen, die eigentlich Administratoren vorbehalten sind. Konkret lassen sich auf diesem Weg beliebige Dateien auf dem Server löschen, die Konfiguration des Zahlungs-Gateways überschreiben und gespeicherte Wallet-Zugangsdaten im Klartext auslesen. Die Folgen reichen damit von der Beschädigung oder Unbrauchbarkeit der Website über die Umleitung eingehender Zahlungen auf eine vom Angreifer kontrollierte Adresse bis zum direkten Diebstahl der hinterlegten Krypto-Zugangsdaten. Da der Angriff ohne Zugangsdaten und ohne Mitwirkung eines Nutzers allein über einen Aufruf des verwundbaren Endpunkts funktioniert, ist jede öffentlich erreichbare Website mit diesem Plugin unmittelbar angreifbar.