CVE-2026-87902
एक अनधिकृत हमलावर get_page_template() पेज-टेम्पलेट रिज़ॉल्यूशन को सक्रिय थीम निर्देशिकाओं के बाहर एक चुनी हुई पठनीय स्थानीय .php फ़ाइल को शामिल करने के लिए बाध्य कर सकता है। यदि सर्वर और सक्रिय थीम दोनों के लिए प्रासंगिक...
- प्रकाशित
- 22 सित॰ 2026
- अद्यतन
- 26 सित॰ 2026
- सीएनए असाइन करना
- hackerone
- साक्ष्य देखे गए
- 22 सित॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:Hमध्यम · अगले 30 दिन
- प्रतिशत
- 98.6%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सीआईएसए ज्ञात शोषण
यह सीवीई सीआईएसए ज्ञात शोषित कमजोरियों की सूची में दिखाई देता है।
सारांश
एक अनधिकृत हमलावर `get_page_template()` पेज-टेम्पलेट रिज़ॉल्यूशन को सक्रिय थीम निर्देशिकाओं के बाहर एक चुनी हुई पठनीय स्थानीय `.php` फ़ाइल को शामिल करने के लिए बाध्य कर सकता है। यदि सर्वर और सक्रिय थीम दोनों के लिए प्रासंगिक पूर्व-शर्तें पूरी होती हैं, तो यह RCE का कारण बन सकता है।
स्रोत
http/cves/2026/CVE-2026-87902.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)
WordPress Core <= 7.1.1 अनधिकृत LFI से RCE - सत्यापन लैब, PoC, nuclei टेम्पलेट (GHSA-7hp8-65ch-5whp)
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।