CVE-2026-87902
يمكن للمهاجم غير المصادق عليه أن يجعل حل قالب الصفحة get_page_template() يتضمن ملف .php محلي قابل للقراءة ومختار خارج أدلة القالب النشط. إذا تم استيفاء...
- تم النشر
- 22/09/2026
- محدث
- 26/09/2026
- تخصيص CNA
- hackerone
- الأدلة المرصودة
- 22/09/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:Hمتوسط · الثلاثين يومًا القادمة
- المئوية
- 98.6%
- تاريخ الموديل
- 19/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
CISA معروف باستغلاله
يظهر CVE هذا في كتالوج الثغرات الأمنية المعروفة بـ CISA.
ملخص
يمكن للمهاجم غير المصادق عليه أن يجعل حل قالب الصفحة `get_page_template()` يتضمن ملف `.php` محلي قابل للقراءة ومختار خارج أدلة القالب النشط. إذا تم استيفاء الشروط المسبقة ذات الصلة لكل من الخادم والقالب النشط، فقد يؤدي ذلك إلى تنفيذ التعليمات البرمجية عن بُعد (RCE).
المصادر
http/cves/2026/CVE-2026-87902.yaml
Nuclei Templatesالشروط المعلنة
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)
WordPress Core <= 7.1.1 ثغرة تضمين ملفات محلية (LFI) غير مصادق عليها تؤدي إلى تنفيذ أوامر عن بُعد (RCE) - مختبر تحقق، إثبات مفهوم، قالب nuclei (GHSA-7hp8-65ch-5whp)
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.