Skip to content
KitploitKITPLOIT
StrumentiBlog
Invia
StrumentiBlog
Invia

Strumenti di Hacking, PenTest e Cybersecurity per il tuo Arsenale di Sicurezza!

Kitploit è una directory di strumenti di hacking, cybersecurity e pentesting. Scopri gli ultimi aggiornamenti dei progetti per trovare vulnerabilità, analizzare sistemi, automatizzare i test e rafforzare la tua sicurezza.

··Feed·Contatto·Privacy·© 2026 Kitploit

Directory degli strumenti

Categorie

Vedi tutte le categorie
Loading categories
CVE-2026-3891 — Pix for WooCommerce <= 1.5.0 - Caricamento arbitrario di file non autenticato | Kitploit
Strumenti/GitHubGitHub/nxploited/cve-2026-3891
Generazione di PayloadAnalisi delle VulnerabilitàExploitSfruttamento di Applicazioni WebPenetration TestingRed Teaming
GitHubnxploited/cve-2026-3891

CVE-2026-3891

Pix for WooCommerce <= 1.5.0 - Caricamento arbitrario di file non autenticato

Vedi Repository
6325 mesi faNon ancora revisionato

Più Popolari

Vedi tutti →

Scopri gli strumenti più utilizzati dalla nostra community.

Esplora tutti gli strumenti

Sfoglia la nostra collezione di strumenti

Vedi tutti gli strumenti →
Condividi

CVE-2026-3891

Pix for WooCommerce <= 1.5.0 - Caricamento File Arbitrario Non Autenticato

💣 Pix for WooCommerce <= 1.5.0 – Caricamento File Arbitrario Non Autenticato (CVE-2026-3891)

👤 Nxploited

🧩 Descrizione

Il plugin Pix for WooCommerce per WordPress è vulnerabile al caricamento di file arbitrario non autenticato a causa di:

  • Controllo dei permessi (capability check) mancante
  • Validazione del tipo di file mancante

nella funzione lkn_pix_for_woocommerce_c6_save_settings in tutte le versioni fino alla 1.5.0 inclusa.

Ciò consente a attaccanti remoti non autenticati di caricare file arbitrari, portando a Remote Code Execution (RCE).

  • CVE: CVE-2026-3891
  • CVSS: 9.8 (Critico)

    • 🧪 PoC / Script di Exploit

    • Script: CVE-2026-3891.py
    • Autore: Khaled Alenazi (Nxploited) – Nxploited ZeroDay Hub
    • Telegram: @Kxploit
    • Canale: https://t.me/KNxploited

    ⚙️ Funzionalità

    • 🔥 Sfruttamento completamente automatizzato
    • ⚡ Multi-thread (scansione ad alta velocità)
    • 🎯 Supporto target in blocco (liste)
    • 🧠 Estrazione intelligente del nonce
    • 📦 Distribuzione automatica della shell
    • 📊 Monitoraggio progressi in tempo reale
    • 🧾 Salvataggio automatico delle shell su file

    ⚙️ Requisiti

    • Python 3.x
    • Dipendenze:
    root@kitploit:~
    pip install requests rich

    🚀 Utilizzo

    1️⃣ Prepara i Target

    Crea un file:

    root@kitploit:~
    list.txt

    Esempio:

    root@kitploit:~
    http://example.com
https://target.com
victim-site.com

    Se il protocollo manca → lo script aggiunge automaticamente http://

    2️⃣ Aggiungi la Tua Shell

    Metti il file della shell nella stessa directory:

    root@kitploit:~
    shell.php

    3️⃣ Esegui l'Exploit

    root@kitploit:~
    python3 CVE-2026-3891.py

    4️⃣ Input Interattivi

    Lo script chiederà:

    • File dei target (predefinito: list.txt)
    • Thread (predefinito: 8)
    • Nome della shell (es. shell.php)

    ⚡ Flusso di Sfruttamento

    1. 🎯 Target caricato
    2. 🔑 Nonce richiesto
    3. 📤 Upload della shell
    4. 💥 File caricato due volte
    5. 🔗 Percorso della shell generato automaticamente

    📂 Posizione della Shell

    root@kitploit:~
    /wp-content/plugins/payment-gateway-pix-for-woocommerce/Includes/files/certs_c6/<shell>.php

    📤 Output

    ✔ Successo

    • Mostra il risultato formattato
    • Visualizza:
      • Target
      • Percorso della shell
      • URL completo

    ❌ Errore

    root@kitploit:~
    FAIL http://target.com (motivo)

    📄 Risultati Salvati

    root@kitploit:~
    shells.txt

    📊 Progressi in Tempo Reale

    root@kitploit:~
    Progress 5/20 OK:3 FAIL:2

    ⚠️ Disclaimer

    Questo progetto è fornito solo per test di sicurezza educativi e autorizzati.

    • NON utilizzarlo su sistemi senza permesso
    • L'accesso non autorizzato è illegale
    • L'autore NON è responsabile per un uso improprio

    👤 Autore

    Nxploited

    • 👨‍💻 Khaled Alenazi
    • 📬 Telegram: @Kxploit
    • 📢 Canale: https://t.me/KNxploited
    Scarica lo strumento