---

🔍 Aperçu

Une interface graphique Tkinter moderne (bibliothèque standard uniquement, aucune dépendance tierce) pour CVE-2026-87902 — une inclusion de fichier local non authentifiée dans le cœur de WordPress via le paramètre pagename de get_page_template(), escaladée en exécution de code à distance via une chaîne de gadgets PEAR (pearcmd.php + config-create).

• Affecté : WordPress 4.7.0 – 7.1.1
• Corrigé dans : 6.8.10, 7.0.6, 7.1.2
• CVSS : 9.8 — CWE : 22 — GHSA : 7hp8-65ch-5whp

---

✨ Fonctionnalités

• 🎯 Scan unique et massif — une cible ou une liste d'URL depuis un fichier, multi-threadé
• 🔎 Empreinte — détecte WordPress, la version du cœur et le thème actif
• 🧪 Vérification non destructive — le mode check-only confirme la LFI sans rien exécuter
• 💥 LFI → RCE — force brute sur pearcmd.php (Linux + XAMPP/Windows) sur les profondeurs 1–19, écrit du PHP via config-create
• 📁 Déploiement du gestionnaire de fichiers — dépose fm_<hex>.php dans le répertoire de dépôt configuré une fois la RCE réussie
• 🛡️ Garde anti-faux positifs — sonde de contrôle négatif sur l'oracle OPML (détecte une sortie ambiante)
• 🎨 Interface Hacker Console — thème néon sombre, pluie matricielle, console colorée, statistiques en direct, barre de progression
• 📊 Export CSV — exporte l'ensemble complet des résultats au format CSV

---

📦 Prérequis

• Python 3.8 ou plus récent
• Aucun pip install nécessaire — bibliothèque standard pure (tkinter, urllib, ssl, socket, gzip, zlib, threading, queue, ...)

Si Tkinter est absent de votre système (il s'agit d'un paquet du système d'exploitation, pas d'un paquet pip) :

Plateforme	Commande
Debian / Ubuntu	sudo apt install python3-tk
Fedora / RHEL	sudo dnf install python3-tkinter
Arch Linux	sudo pacman -S tk
macOS (Homebrew)	brew install python-tk
Windows	Fourni avec l'installateur officiel de Python

---

⚡ Démarrage rapide

git clone https://github.com/tonydelouvre/CVE-2026-87902.git
cd CVE-2026-87902
python3 xwp_gui.py

Raccourcis clavier :

Touche	Action
Ctrl+Enter	Lancer le scan
Esc	Arrêter le scan

---

🎯 Utilisation

1. TARGET — choisissez SINGLE (une URL) ou MASS, puis BROWSE LIST un fichier .txt contenant une URL par ligne.
2. MODE — cochez exploit -> RCE et deploy file manager pour la chaîne complète, ou check-only pour une passe de vérification sûre.
3. ADVANCED — ajustez oracle, depths, segments, probe, threads, timeout, proxy.
4. Appuyez sur START SCAN et observez les onglets CONSOLE et RESULTS.

Champs de configuration

Champ	Valeur par défaut	Description
target url	–	URL de base cible (mode single)
target list	–	Fichier d'URLs (mode mass)
command	id	Commande exécutée une fois le RCE obtenu
drop dir	/tmp	Répertoire où le File Manager est écrit
oracle	wp-links-opml	Fichier core exploité comme oracle LFI
depths	4,3,5,6,7	Profondeurs de traversée ../ à essayer
segments	templates,templates/page-templates,page-templates	Répertoires page-* du thème
probe	12	Nombre de valeurs page_id à sonder
threads	10	Workers parallèles (max 50)
timeout	12.0	Délai d'expiration par requête en secondes
max time	60.0	Budget de temps par cible en secondes
proxy	–	http://host:port

Construction du payload

build_pagename() produit segment + %252f + N× %252e%252e%252f + cible, en appliquant un double encodage URL :

/?page_id=<N>&pagename=templates%252f%252e%252e%252f...%252fwp-links-opml

🔬 Fonctionnement

Phase	Module	Action
1. Empreinte	Fingerprinter	Détecte WordPress + version (generator, ?ver=, wp-links-opml.php) et le thème
2. Précondition	PreconditionChecker	Localise le répertoire page-* du thème utilisé comme segment de traversée
3. Découverte	PageDiscoverer	Collecte les valeurs page_id via l'API REST, les sitemaps, les liens courts, les classes page-id-
4. LFI	TraversalExploiter	Requête ?page_id=N&pagename=<chemin doublement encodé> et recherche de l'oracle <opml version=
5. RCE	RCEEscalator	Localise un gadget pearcmd.php à une profondeur de 1 à 19, écrit du PHP via pear +config-create+, exécute la commande
6. Post-exploit	shell.php	Déploie le gestionnaire de fichiers (fm_<hex>.php) dans le répertoire de dépôt

Raccourcis de version : si l'empreinte indique patched ou out_of_range, la cible est ignorée immédiatement pour gagner du temps.

---

🖥️ Sortie

L'onglet RESULTS affiche les colonnes target, verdict, version, lfi, rce, shell. Les lignes classées VULNERABLE sont surlignées en cyan ; les lignes ayant obtenu un RCE deviennent magenta. EXPORT écrit tout dans un fichier CSV :

target,verdict,version,lfi,rce,shell,detail
http://target.local,VULNERABLE,6.4,templates/../../ d=4 POST,uid=33(www-data),http://target.local/?page_id=2&pagename=...,

🛡️ Atténuation

Pour les administrateurs système :