CVE-2026-87902-PoC-pwnVader

Shell PoC para CVE-2026-87902, un LFI no autenticado en el núcleo de WordPress mediante la resolución de page-template que encadena a RCE a través de pearcmd.php.

Resumen

get_page_template() añade page-{urldecode(pagename)}.php a la jerarquía de plantillas de página cuando la variable de consulta pagename contiene caracteres codificados en porcentaje, y locate_template() resuelve el candidato con file_exists() / require sin validar que la ruta permanezca dentro del tema activo. Un atacante no autenticado puede, por tanto, incluir y ejecutar un archivo .php local legible elegido fuera del tema activo.

Precondiciones:

1. WordPress < 7.1.2.
2. El tema activo contiene un directorio de nivel superior que comienza por page- (por ejemplo, el Twenty Fourteen oficial incluye page-templates/). El nombre de la plantilla siempre lleva el prefijo page-, por lo que el primer componente de la ruta debe existir.
3. Un ID de página pública válido para que la consulta principal sea una página (no un 404). El script descubre uno a partir del sitemap del núcleo, la clase del body de la página de inicio, o una pequeña sonda de IDs.

El payload está doblemente codificado para que sanitize_title_for_query() preserve los octetos %2e/%2f; urldecode() dentro de get_page_template() reconstruye entonces ../ en el momento de resolución de la plantilla.

Si el servidor también tiene un pearcmd.php accesible y register_argc_argv = On (el valor predeterminado en la imagen oficial de PHP), la cadena escala a ejecución remota de código: la cadena de consulta se convierte en argv de CLI mediante separadores +, pear config-create escribe un archivo .php controlado por el atacante, y el mismo LFI lo incluye.

Uso

Opciones: --page-id N, --ups N, --pearcmd PATH, --timeout N. --authorized (o VDP_AUTHORIZED=1) es obligatorio para cualquier modo que pueda escribir cuando el objetivo no sea localhost.

Salida de ejemplo (check)

Salida de ejemplo (check-rce / rce)

Si se confirma el LFI pero PEAR está ausente (o register_argc_argv está Off), el script informa de la precondición con claridad y sale sin escribir nada (exit 3).

Lógica de detección

1. Encontrar un ID de página pública (sitemap → clase del body de la página de inicio → sonda numérica).
2. Para cada directorio de tema page-* candidato y profundidad de traversal, solicitar page-<dir>/../../…/wp-includes/version.php a través del parámetro pagename (POST, cuerpo vacío — necesario porque WordPress redirige canónicamente GET/HEAD primero).
3. Una respuesta 200 con un cuerpo de 0 bytes (frente a la línea base de la página de varios KB) demuestra la inclusión.
4. Comprobación de RCE: intentar pear config-create a través del LFI con un payload autodestructivo, y luego incluir el archivo escrito con un comando proporcionado en la solicitud.

Causa raíz / corrección

Corrección del proveedor en 7.1.2 (wp-includes/template.php):

más una comprobación de contención con realpath() en locate_template() (_wp_is_template_path_allowed()). wordpress-7.0.6 contiene la corrección idéntica byte a byte.

Remediación

• Actualizar el núcleo de WordPress a 7.1.2 (o 7.0.6 para la rama 7.0).
• Medida provisional: rechazar valores de pagename que contengan secuencias de traversal (.., %2e%2e, %252e%252e) en todos los métodos HTTP, o eliminar la precondición del directorio de tema page-*.

Referencias

• NVD — CVE-2026-87902: https://nvd.nist.gov/vuln/detail/CVE-2026-87902
• Aviso del proveedor: https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-7hp8-65ch-5whp
• Versiones corregidas: https://wordpress.org/wordpress-7.1.2.tar.gz · https://wordpress.org/wordpress-7.0.6.tar.gz

Descargo de responsabilidad

Solo para pruebas de seguridad autorizadas. Los modos RCE utilizan un payload autodestructivo y nunca escriben nada más allá de su propio archivo marcador temporal, pero aun así ejecutan comandos en el objetivo — ejecútalos solo donde tengas permiso explícito.