PoC et scanner Python pour CVE-2026-87902, une traversée de chemin dans le cœur de WordPress menant à une LFI et à une RCE basée sur PEAR, avec contournement de WAF et exploitation automatisée.

Cause racine

get_page_template() dans wp-includes/template.php appelle urldecode() sur le paramètre de requête pagename après que l'assainissement a déjà été exécuté. Une séquence ../ doublement encodée (%252E%252E%252F) passe le premier décodage PHP sous la forme %2E%2E%2F, survit à sanitize_title_with_dashes() (qui préserve les séquences %xx), puis est décodée par l'appel tardif urldecode() de WordPress en ../ — échappant ainsi du répertoire du thème.

La méthode POST est requise car redirect_canonical() retourne prématurément pour les requêtes non-GET/HEAD, empêchant la normalisation du chemin avant d'atteindre le code vulnérable.

Flux d'exploitation

Impact

• Inclusion de fichier local — des fichiers .php arbitraires en dehors du répertoire du thème sont inclus et exécutés
• Exécution de code à distance — via la chaîne de gadgets PEAR pearcmd.php (nécessite PEAR installé + register_argc_argv=On)

Chaîne RCE PEAR

Deux requêtes POST anonymes permettent d'obtenir une RCE :

Étape 1 — Inclure pearcmd.php via le traversal. La chaîne de requête /?+config-create+/<php-payload>+<output>.php devient l'argv de PEAR. La commande config-create écrit des données contrôlées par l'attaquant (y compris des balises PHP) dans un répertoire accessible en écriture.

Étape 2 — Inclure le fichier écrit par PEAR. Le PHP embarqué s'exécute avec les privilèges du serveur web.

Les payloads PHP utilisent l'encodage chr() (<?=shell_exec(chr(105).chr(100))?>) pour éviter les caractères de guillemets que wp_magic_quotes() échapperait.

Outil

cve-2026-87902.py — vérificateur automatisé + scanner LFI + exploit RCE PEAR. Utilise http.client pour un contrôle exact des octets de la requête (aucun ré-encodage par une bibliothèque).

Prérequis

Python 3.6+ (bibliothèque standard uniquement — aucune dépendance pip)

Utilisation

Ce qu'il fait

1. Détection du thème — extrait le thème actif depuis le HTML, sonde les répertoires page-*
2. Découverte de pages — interroge l'API REST pour les pages publiées avec des templates par défaut
3. Test de traversal — balaye plusieurs profondeurs (1-12) avec des payloads POST doublement encodés
4. Contournement de WAF — --multipart encapsule le payload dans multipart/form-data pour échapper à la correspondance de motifs du WAF
5. Scan LFI — inclut des fichiers WordPress connus et compare les tailles de réponse à la référence
6. RCE — chaîne PEAR en deux étapes avec des payloads encodés en chr()

Marqueurs de sortie

Préconditions

• Le thème actif doit contenir un répertoire page-* (par ex. page-templates/)
• Au moins une page publiée avec le template par défaut
• Version de WordPress dans la plage affectée (non corrigée)
• Pour la RCE : pearcmd.php de PEAR lisible + register_argc_argv=On + /tmp accessible en écriture

Remédiation

Mettez à jour vers WordPress 7.1.2 ou la dernière version de sécurité pour votre branche (rétroportages disponibles jusqu'à 4.7).

Références

• Robert Ressl — CVE-2026-87902 Write-up
• WordPress Security Advisory — GHSA-7hp8-65ch-5whp
• Hadrian Vulnerability Alert

Avertissement

Cet outil est fourni uniquement pour des tests de sécurité autorisés et de la recherche en bug bounty. Ne l'utilisez que contre des systèmes pour lesquels vous disposez d'une autorisation explicite de test. L'accès non autorisé à des systèmes informatiques est illégal.