CVE-2026-87902 WordPress 本地靶场

本地 Docker 靶场，用于复现 CVE-2026-87902（WordPress 页面模板解析路径穿越 → 本地 PHP 文件包含 → pearcmd 写文件 RCE）。

⚠️ 仅供授权环境下的安全学习与研究。只能在本地 Docker 里运行，禁止对任何未授权目标使用。漏洞已于 2026-09-22 由官方修复，所有受支持分支均已发布补丁。

漏洞信息

• CVE : CVE-2026-87902（GHSA-7hp8-65ch-5whp），CWE-98 Inclusion de fichier PHP, CVSS 4.0 9.2 Critique
• Impact : WordPress 4.7.0 – 7.1.1 (correctif : 7.1.2 / 7.0.6, rétroportage vers 4.7.37 pour les autres branches)
• Principe : get_page_template() applique un second urldecode() sur le paramètre pagename contrôlé par l'utilisateur, puis l'insère dans les noms de modèles candidats ; locate_template() utilise file_exists() pour trouver le fichier et, avant le chargement, n'effectue que des vérifications de realpath/suffixe/lisibilité, sans vérifier que le chemin reste dans le répertoire du thème (la canonicalisation est présente, mais pas le confinement)
• PoC original et write-up (Robert Ressl) :
  • https://github.com/ressl/cve-2026-87902-poc
  • https://ressl.ch/blog/cve-2026-87902-wordpress/
  • https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-7hp8-65ch-5whp

靶场预置的四个利用条件

#	条件	本靶场如何满足
1	已发布、未指定自定义模板的页面	setup.sh 自动创建并清理示例页
2	活动主题顶层有 page-* 目录	theme/mytheme/page-templates/（激活主题含此目录）
3	可读的 /usr/local/lib/php/pearcmd.php	官方 php 镜像自带 PEAR
4	register_argc_argv=On + 可写落点	官方镜像无 php.ini，编译默认值 On；/tmp 可写

快速开始

docker compose up -d      # 首次自动拉取镜像（约 1GB）
sh setup.sh               # 装机 + 埋 /flag + 验证四条件
python cve-2026-87902.py --url http://127.0.0.1:8091

预期输出：

[*] page id  : 4 (about, default template, via /index.php?rest_route=...)
[*] depth 7  : stage 1 HTTP 200, stage 2 HTTP 200
[+] marker   : 'CVE-2026-87902-POC-OK' found 12 time(s) in the stage-2 response
[+] EXPLOIT SUCCESSFUL - PHP executed with the web-server account's privileges

（12 次 = PEAR 配置文件有 12 个配置项，每项都嵌了一份 payload）

验证与讲解

查看 stage 1 由 PEAR 写出的文件（#PEAR_Config 0.9 开头的 serialize 文本，payload 以普通字符嵌在 12 个配置项里）：

docker compose exec wordpress cat /tmp/wp-pear-rce-flag.php

• étape 1 : exploiter le path traversal pour inclure pearcmd.php ; register_argc_argv=On fait que la query string est découpée en $argv selon les +, et pearcmd croit être appelé depuis un terminal ; config-create <root> <file> écrit root (contenant du code PHP) tel quel dans le fichier cible
• étape 2 : la même chaîne de traversal inclut le fichier qui vient d'être écrit, <?=...?> s'exécute, lit /flag et l'affiche

后台与清理

• Back-office WordPress : http://127.0.0.1:8091/wp-admin (admin / admin123, uniquement pour le lab local)
• Contenu du flag : CVE-2026-87902-POC-OK (situé dans le conteneur à /flag)
• Utilisateurs Windows : exécutez setup.sh avec Git Bash

彻底清理（容器 + 数据卷 + 镜像）：

docker compose down -v --rmi all

文件说明

docker-compose.yml     WordPress 7.0.2-php8.3-apache + MySQL 8.4 + wp-cli
theme/mytheme/         实验主题（含 page-templates/ 目录，条件②）
cve-2026-87902.py      PoC（来自 ressl/cve-2026-87902-poc，版权归原作者）
setup.sh               一键装机 + 四条件自检

致谢与声明

• 漏洞发现与披露：Robert Ressl（ressl.ch），经 WordPress 官方安全流程（HackerOne）协调披露
• 本仓库仅包含官方镜像、官方惯例目录与公开 PoC 的组装，用于教学复现
• 使用本靶场所产生的一切后果由使用者自行承担