CVE-2026-87902-PoC-pwnVader

Shell-PoC für CVE-2026-87902, eine unauthentifizierte WordPress-Core-LFI über die Auflösung von Seitenvorlagen, die über pearcmd.php zu RCE verkettet wird.

Zusammenfassung

get_page_template() fügt page-{urldecode(pagename)}.php zur Seitentemplate-Hierarchie hinzu, wenn die pagename-Query-Variable prozentkodierte Zeichen enthält, und locate_template() löst den Kandidaten mit file_exists() / require auf, ohne zu validieren, dass der Pfad innerhalb des aktiven Themes bleibt. Ein unauthentifizierter Angreifer kann daher eine gewählte lesbare lokale .php-Datei außerhalb des aktiven Themes einbinden und ausführen.

Voraussetzungen:

1. WordPress < 7.1.2.
2. Das aktive Theme enthält ein Verzeichnis auf oberster Ebene, das mit page- beginnt (z. B. liefert das offizielle Twenty Fourteen page-templates/ mit). Der Template-Name wird immer mit page- präfixiert, daher muss die erste Pfadkomponente existieren.
3. Eine gültige öffentliche Seiten-ID, damit die Hauptabfrage eine Seite ist (kein 404). Das Skript ermittelt eine aus der Core-Sitemap, der Body-Klasse der Startseite oder einer kleinen ID-Sonde.

Die Payload ist doppelt kodiert, damit sanitize_title_for_query() die %2e/%2f-Oktette bewahrt; urldecode() innerhalb von get_page_template() rekonstruiert dann ../ zur Template-Auflösungszeit.

Wenn der Server außerdem ein erreichbares pearcmd.php und register_argc_argv = On hat (der Standard im offiziellen PHP-Image), eskaliert die Kette zu Remote Code Execution: Der Query-String wird über +-Trenner zu CLI-argv, pear config-create schreibt eine angreifergesteuerte .php- Datei, und dieselbe LFI bindet sie ein.

Verwendung

Optionen: --page-id N, --ups N, --pearcmd PATH, --timeout N. --authorized (oder VDP_AUTHORIZED=1) ist für jeden Modus erforderlich, der schreiben könnte, wenn das Ziel nicht localhost ist.

Beispielausgabe (check)

Beispielausgabe (check-rce / rce)

Wenn die LFI bestätigt ist, aber PEAR fehlt (oder register_argc_argv aus ist), meldet das Skript die Voraussetzung klar und beendet sich ohne etwas zu schreiben (exit 3).

Erkennungslogik

1. Eine öffentliche Seiten-ID finden (Sitemap → Body-Klasse der Startseite → numerische Sonde).
2. Für jedes Kandidaten-page-*-Theme-Verzeichnis und jede Traversal-Tiefe page-<dir>/../../…/wp-includes/version.php über den pagename-Parameter anfordern (POST, leerer Body — erforderlich, weil WordPress GET/HEAD zuerst kanonisch weiterleitet).
3. Eine 200-Antwort mit einem 0-Byte-Body (im Vergleich zur Multi-KB-Seiten-Baseline) beweist die Einbindung.
4. RCE-Prüfung: pear config-create durch die LFI mit einer selbstlöschenden Payload versuchen, dann die geschriebene Datei mit einem in der Anfrage übergebenen Befehl einbinden.

Ursache / Fix

Hersteller-Fix in 7.1.2 (wp-includes/template.php):

plus eine realpath()-Containment-Prüfung in locate_template() (_wp_is_template_path_allowed()). wordpress-7.0.6 enthält den byte-identischen Fix.

Behebung

• WordPress-Core auf 7.1.2 aktualisieren (oder 7.0.6 für den 7.0-Zweig).
• Übergangslösung: pagename-Werte mit Traversal-Sequenzen (.., %2e%2e, %252e%252e) bei jeder HTTP-Methode ablehnen oder die page-*-Theme-Verzeichnis-Voraussetzung entfernen.

Referenzen

• NVD — CVE-2026-87902: https://nvd.nist.gov/vuln/detail/CVE-2026-87902
• Hersteller-Advisory: https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-7hp8-65ch-5whp
• Behobene Releases: https://wordpress.org/wordpress-7.1.2.tar.gz · https://wordpress.org/wordpress-7.0.6.tar.gz

Haftungsausschluss

Nur für autorisierte Sicherheitstests. Die RCE-Modi verwenden eine selbstlöschende Payload und schreiben nie etwas außer ihrer eigenen temporären Marker-Datei, aber sie führen dennoch Befehle auf dem Ziel aus — führen Sie sie nur dort aus, wo Sie ausdrückliche Genehmigung haben.