Resumen

WordPress resuelve una plantilla de Página mediante una cadena que nunca comprueba que el archivo seleccionado permanezca dentro de la raíz de un tema:

1. pagename y page_id son variables de consulta públicas que WP::parse_request() acepta desde un cuerpo POST anónimo.
2. Un traversal con doble codificación en pagename sobrevive a la sanitización temprana de la consulta como octetos %xx escapados (wp_basename() no puede ver %2f como separador, y sanitize_title_with_dashes() conserva deliberadamente los octetos válidos).
3. Un page_id válido selecciona entonces una Página publicada real, mientras que el pagename malicioso permanece en el objeto de consulta.
4. get_page_template() llama después a urldecode() sobre ese valor y añade un candidato como page-templates/../../../../../../../usr/local/lib/php/pearcmd.php a la jerarquía de plantillas.
5. locate_template() y el cargador final de plantillas solo comprueban la existencia, la legibilidad y el sufijo .php/.html — nunca que la ruta canónica siga estando dentro de una raíz de tema permitida — y luego lo include.

Eso constituye una primitiva de inclusión local de archivos remota no autenticada en WordPress Core. En el entorno de ejecución oficial probado (wordpress:php8.3-apache, que incluye PEAR y no carga ningún php.ini, por lo que register_argc_argv está en On), la inclusión se encadenó a través de pearcmd.php de PEAR: una primera petición anónima hace que config-create escriba PHP controlado por el atacante en /tmp, y una segunda petición anónima incluye ese archivo y lo ejecuta como www-data.

La falta de contención de rutas en Core es la vulnerabilidad. PEAR es solo una ruta dependiente del entorno desde la inclusión hasta la ejecución de código — no es una dependencia de WordPress y no está presente ni es utilizable en todos los despliegues.

Causa raíz

Ubicaciones del código verificadas (WordPress 7.0.2):

Precondiciones

La primitiva de inclusión independiente necesita:

La etapa PEAR demostrada necesita además un pearcmd.php legible (junto con sus dependencias), register_argc_argv=On para el SAPI web, y un directorio de salida escribible. Los archivos php.ini de producción establecen register_argc_argv=Off; la imagen probada no carga ningún php.ini, por lo que se aplicó el valor predeterminado compilado (On). Esta es una limitación importante sobre la prevalencia de la cadena de ejecución de código demostrada.

Los temas incluidos Twenty Twenty-Three/Four/Five no incluyen ningún directorio page-* de nivel superior, por lo que el laboratorio estándar necesita el fixture descrito a continuación. Los temas personalizados pueden usar legítimamente una estructura page-templates/ (documentación de WordPress).

El aviso registra dónde se producen estas condiciones en software distribuido: la condición del tema se cumple en los temas heredados Twenty Twelve y Twenty Fourteen y en temas de terceros como Neve, Hestia y Sydney, mientras que la transición a PEAR se aplica a la imagen oficial de PHP para Docker y a las configuraciones predeterminadas de cPanel que ejecutan PHP anterior a 8.5. (Twenty Twelve y Twenty Fourteen incluyen ambos un directorio page-templates/ de nivel superior; las demás afirmaciones son del aviso). Este repositorio no mide con qué frecuencia se aplica la cadena completa.

Inicio rápido

cve-2026-87902.py necesita Python 3.6+ (solo biblioteca estándar) y accede al laboratorio en http://127.0.0.1:8091 de forma predeterminada. Salida esperada:

El código de salida es 0 en caso de éxito y 1 en caso contrario, por lo que el PoC también funciona como comprobación de regresión/detección.

Desmontaje: docker compose down -v.

Resultados verificados

Ejecutado el 2026-09-22 contra este laboratorio (Docker 29.4, OrbStack, Apple silicon):

El artefacto de prueba es /flag, propiedad de root y legible por todos (root:root, modo 0444) dentro del contenedor. Demuestra la ejecución de PHP y el acceso a archivos como la cuenta del servidor web; no es un objetivo de escalada de privilegios.

Cómo funciona la cadena

Dos POST anónimos. Los valores de enrutamiento de WordPress viajan en el cuerpo del formulario, y los argumentos de PEAR en la cadena de consulta sin procesar (PHP divide la cadena de consulta sin procesar por el carácter literal + en argv y no decodifica individualmente los argumentos):

Etapa 1 — incluir pearcmd.php y escribir el payload:

Etapa 2 — incluir el archivo generado y ejecutar su PHP:

Detalles que importan:

• Dos capas de codificación. El cuerpo es decodificado una vez por PHP a templates%2f%2e%2e%2f...; el sanitizador conserva esos octetos, y solo el urldecode() tardío de get_page_template() los convierte en / y ...
• Prefijo page-. WordPress antepone page- al valor, por lo que el directorio fixture page-templates/ corresponde al segmento inicial templates.
• Sufijo .php forzado. El candidato es page-<decoded>.php, por lo que el objetivo se indica sin sufijo (.../pearcmd, /tmp/wp-pear-rce-flag).
• POST, no GET. redirect_canonical() omite las peticiones que no son GET/HEAD, y el cuerpo del formulario permite que la cadena de consulta solo transporte los argumentos de PEAR.
• Payload sin comillas. wp_magic_quotes() también se ejecuta sobre $_SERVER, por lo que el argv construido por el servidor se escapa y PEAR normaliza después las barras invertidas. El payload verificado usa chr() y no contiene caracteres de comilla. (Se reduce a <?=file_get_contents('/flag')?>.)
• Ruta raíz de config-create. PEAR rechaza una raíz relativa (Root directory must be an absolute path beginning with "/"), por lo que el payload se inyecta como la propia ruta raíz.
• Profundidad. cve-2026-87902.py recorre segmentos .. hasta que el traversal alcanza el objetivo (7 para la disposición de este laboratorio, --depth para fijarlo).

Laboratorio

lab/up.sh realiza tres pasos y es seguro volver a ejecutarlo:

1. docker compose up -d --build --wait — fija wordpress:7.0.2-php8.3-apache más mysql:8.4, puerto 127.0.0.1:8091 (solo loopback).
2. Ejecuta el instalador de WordPress (admin / adminadmin) si el sitio aún no está instalado.
3. Crea el fixture dentro del tema activo y lo imprime: wp-content/themes/twentytwentyfive/page-templates/, root:root, modo 0755, vacío.

La imagen del laboratorio añade register_argc_argv=On explícitamente (lab/Dockerfile) en lugar de depender del valor predeterminado compilado, e incorpora /flag (root:root, modo 0444, contenido CVE-2026-87902-POC-OK).

La etiqueta móvil wordpress:php8.3-apache no es utilizable para este laboratorio: el fallo está corregido en 7.1.2 y una etiqueta no fijada convierte silenciosamente el laboratorio en parcheado.

Controles negativos y limitaciones

Controles verificados o documentados:

• Sin directorio page-* de nivel superior en el tema → el prefijo fijo no puede eliminarse y el traversal nunca comienza (verificado: fixture eliminado → sin marcador).
• register_argc_argv=Off → sin escritor PEAR, pero la primitiva de inclusión permanece.
• PEAR o sus dependencias ausentes → sin escritor.
• Número incorrecto de segmentos .. → objetivo no alcanzado (verificado: las profundidades 1-6 y 8-12 no producen marcador en el laboratorio).
• Una plantilla de página personalizada asignada a la Página → se ordena antes que el candidato malicioso y gana.
• Un archivo sin sufijo (p. ej. /flag) no puede leerse directamente — al candidato se le añade .php.
• Un WAF/CDN/proxy inverso que rechace bytes <, >, = sin procesar en el objetivo de la petición rompe el canal de argumentos de PEAR (específico del despliegue).
• El confinamiento open_basedir/MAC o un directorio de salida no escribible rompen la cadena; noexec en /tmp no lo hace (PHP lee e interpreta el archivo).

Este PoC reproduce una configuración verificada. No afirma que toda instalación de WordPress sea explotable, ni mide la prevalencia.

Remediación

• Actualizar a WordPress 7.1.2 o posterior (o al backport de tu rama).
• Defensa en profundidad para el manejo de plantillas: tras la decodificación, rechazar candidatos con traversal y absolutos (p. ej. validate_file()), y antes de incluir una plantilla localizada, comparar realpath() del candidato y la raíz del tema con un separador de directorio final.
• Mitigaciones para operadores: establecer register_argc_argv=Off para los SAPIs web, eliminar los puntos de entrada de PEAR no usados y legibles por web de las imágenes de producción, auditar los temas hijo y padre en busca de directorios page-* de nivel superior, y restringir el acceso de escritura para la cuenta de PHP.

Archivos

Cronología de divulgación

El informe fue aceptado como un hallazgo de seguridad válido después de que se revisara su clasificación inicial; la correspondencia no fecha esa aceptación.

Descargo de responsabilidad

Este repositorio se publica con fines defensivos y de investigación. Úsalo solo contra sistemas que poseas o para los que tengas autorización explícita de prueba. El laboratorio está vinculado a 127.0.0.1 y no debe exponerse a redes no confiables.

Licencia

MIT — véase LICENSE. Los metadatos de citación están en CITATION.cff:

Ressl, Robert (2026). CVE-2026-87902 PoC: unauthenticated path traversal in WordPress page-template resolution (v1.0.0). https://ressl.ch

El informe de vulnerabilidad y este PoC se prepararon con asistencia de IA para la organización y la revisión de consistencia; el investigador es responsable de las afirmaciones técnicas.