rabakuku/cve-2026-87902-a-working-poc-for-wordpress-s-critical-path-traversalNotas de referencia y configuraciones de mitigación para CVE-2026-87902, una vulnerabilidad de path traversal y LFI no autenticada en WordPress Core, encadenable a RCE, con reglas de endurecimiento para Nginx, Apache y PHP.
🔴 Mira el Análisis Completo y el Tutorial de Mitigación:
👉 Haz Clic Aquí para Ver en YouTube
Este repositorio proporciona notas de referencia de emergencia, reglas de mitigación para servidores web y configuraciones de endurecimiento cubiertas en nuestro análisis técnico de CVE-2026-87902 (CVSS 9.2 Crítico).
CVE-2026-87902 afecta a las versiones de WordPress Core desde la 4.7.0 hasta la 7.1.1. Permite a un atacante remoto no autenticado realizar path traversal e Inclusión Local de Archivos (LFI) a través de las funciones de resolución de plantillas de temas (locate_template / get_page_template), lo cual puede encadenarse con entornos como pearcmd.php para lograr Ejecución Remota de Código (RCE) completa.
register_argc_argv en php.iniDeshabilitar esta configuración neutraliza la inyección de argumentos de línea de comandos a través de solicitudes web (como el vector RCE de pearcmd.php):
register_argc_argv = Off
Bloquear secuencias de traversal no autenticadas pasadas a través del parámetro de consulta pagename:
# Block path traversal attempts in query parameters
if ($query_string ~* "pagename=.*(\.\.|%2e%2e)") {
return 403;
}
.htaccess / VirtualHost)RewriteEngine On
RewriteCond %{QUERY_STRING} pagename=.*(\.\.|%2e%2e) [NC]
RewriteRule .* - [F,L]
Actualiza tu instancia de WordPress inmediatamente a la versión parcheada 7.1.2 o a la versión de seguridad retroportada específica de tu rama:
wp core update --version=7.1.2
Descargo de responsabilidad: Este repositorio y el tutorial en video se proporcionan estrictamente con fines educativos y de endurecimiento de seguridad en profundidad.
http://googleusercontent.com/youtube_content/1