---

🔍 अवलोकन

CVE-2026-87902 के लिए एक आधुनिक Tkinter GUI (केवल मानक लाइब्रेरी, कोई तृतीय-पक्ष निर्भरता नहीं) — WordPress core में get_page_template() के pagename पैरामीटर के माध्यम से एक अनधिकृत Local File Inclusion, जिसे PEAR gadget chain (pearcmd.php + config-create) के माध्यम से Remote Code Execution तक बढ़ाया गया है।

• प्रभावित: WordPress 4.7.0 – 7.1.1
• इसमें ठीक किया गया: 6.8.10, 7.0.6, 7.1.2
• CVSS: 9.8 — CWE: 22 — GHSA: 7hp8-65ch-5whp

---

✨ विशेषताएँ

• 🎯 एकल और सामूहिक स्कैनिंग — एक लक्ष्य या फ़ाइल से URL सूची, मल्टी-थ्रेडेड
• 🔎 फिंगरप्रिंटिंग — WordPress, core संस्करण और सक्रिय थीम का पता लगाता है
• 🧪 गैर-विनाशकारी जाँच — check-only मोड कुछ भी निष्पादित किए बिना LFI की पुष्टि करता है
• 💥 LFI → RCE — गहराई 1–19 तक pearcmd.php (Linux + XAMPP/Windows) पर ब्रूट-फोर्स करता है, config-create के माध्यम से PHP लिखता है
• 📁 File Manager परिनियोजन — RCE सफल होने पर कॉन्फ़िगर की गई drop निर्देशिका में fm_<hex>.php डालता है
• 🛡️ गलत-सकारात्मक सुरक्षा — OPML oracle पर नकारात्मक-नियंत्रण जाँच (परिवेशी आउटपुट का पता लगाता है)
• 🎨 हैकर कंसोल UI — डार्क-नियॉन थीम, मैट्रिक्स रेन, रंग-कोडित कंसोल, लाइव आँकड़े, प्रगति बार
• 📊 CSV निर्यात — पूरा परिणाम सेट CSV में डंप करें

---

📦 आवश्यकताएँ

• Python 3.8 या नया
• pip install की आवश्यकता नहीं — शुद्ध मानक लाइब्रेरी (tkinter, urllib, ssl, socket, gzip, zlib, threading, queue, ...)

यदि आपके सिस्टम पर Tkinter अनुपस्थित है (यह एक OS पैकेज है, pip पैकेज नहीं):

प्लेटफ़ॉर्म	कमांड
Debian / Ubuntu	sudo apt install python3-tk
Fedora / RHEL	sudo dnf install python3-tkinter
Arch Linux	sudo pacman -S tk
macOS (Homebrew)	brew install python-tk
Windows	आधिकारिक Python इंस्टॉलर के साथ बंडल किया गया

---

⚡ त्वरित शुरुआत

git clone https://github.com/tonydelouvre/CVE-2026-87902.git
cd CVE-2026-87902
python3 xwp_gui.py

कीबोर्ड शॉर्टकट:

कुंजी	क्रिया
Ctrl+Enter	स्कैन शुरू करें
Esc	स्कैन रोकें

---

🎯 उपयोग

1. TARGET — SINGLE (एक URL) या MASS चुनें, फिर BROWSE LIST से एक .txt फ़ाइल चुनें जिसमें प्रति पंक्ति एक URL हो।
2. MODE — पूरी चेन के लिए exploit -> RCE और deploy file manager पर टिक करें, या सुरक्षित सत्यापन पास के लिए check-only चुनें।
3. ADVANCED — oracle, depths, segments, probe, threads, timeout, proxy को समायोजित करें।
4. START SCAN दबाएँ और CONSOLE तथा RESULTS टैब देखें।

कॉन्फ़िगरेशन फ़ील्ड

फ़ील्ड	डिफ़ॉल्ट	विवरण
target url	–	लक्ष्य बेस URL (सिंगल मोड)
target list	–	URL की फ़ाइल (मास मोड)
command	id	RCE प्राप्त होने पर निष्पादित कमांड
drop dir	/tmp	वह डायरेक्टरी जहाँ File Manager लिखा जाता है
oracle	wp-links-opml	LFI oracle के रूप में दुरुपयोग की जाने वाली कोर फ़ाइल
depths	4,3,5,6,7	आज़माने के लिए ../ ट्रैवर्सल गहराई
segments	templates,templates/page-templates,page-templates	थीम की page-* डायरेक्टरियाँ
probe	12	जाँचने के लिए page_id मानों की संख्या
threads	10	समानांतर वर्कर (अधिकतम 50)
timeout	12.0	प्रति-अनुरोध टाइमआउट सेकंड में
max time	60.0	प्रति लक्ष्य समय बजट सेकंड में
proxy	–	http://host:port

पेलोड निर्माण

build_pagename() segment + %252f + N× %252e%252e%252f + लक्ष्य उत्पन्न करता है, दोहरा URL-एन्कोडिंग लागू करते हुए:

/?page_id=<N>&pagename=templates%252f%252e%252e%252f...%252fwp-links-opml

---

🔬 यह कैसे काम करता है

चरण	मॉड्यूल	क्रिया
1. फ़िंगरप्रिंट	Fingerprinter	WordPress + संस्करण (generator, ?ver=, wp-links-opml.php) और थीम का पता लगाएँ
2. पूर्व-शर्त	PreconditionChecker	ट्रैवर्सल सेगमेंट के रूप में उपयोग की जाने वाली थीम page-* डायरेक्टरी का पता लगाएँ
3. खोज	PageDiscoverer	REST API, sitemaps, shortlinks, page-id- क्लासेस के माध्यम से page_id मान एकत्र करें
4. LFI	TraversalExploiter	?page_id=N&pagename=<double-encoded path> का अनुरोध करें और <opml version= ओरेकल की तलाश करें
5. RCE	RCEEscalator	गहराई 1–19 पर एक pearcmd.php गैजेट का पता लगाएँ, pear +config-create+ के माध्यम से PHP लिखें, कमांड निष्पादित करें
6. पोस्ट-एक्सप्लॉइट	shell.php	File Manager (fm_<hex>.php) को ड्रॉप डायरेक्टरी में तैनात करें

संस्करण शॉर्टकट: यदि फ़िंगरप्रिंट patched या out_of_range रिपोर्ट करता है, तो समय बचाने के लिए लक्ष्य को तुरंत छोड़ दिया जाता है।

---

🖥️ आउटपुट

RESULTS टैब में target, verdict, version, lfi, rce, shell कॉलम दिखाए जाते हैं। VULNERABLE के रूप में वर्गीकृत पंक्तियाँ सियान रंग में हाइलाइट की जाती हैं; जिन पंक्तियों ने RCE प्राप्त किया है वे मैजेंटा हो जाती हैं। EXPORT सब कुछ CSV में लिखता है:

target,verdict,version,lfi,rce,shell,detail
http://target.local,VULNERABLE,6.4,templates/../../ d=4 POST,uid=33(www-data),http://target.local/?page_id=2&pagename=...,

🛡️ शमन

सिस्टम प्रशासकों के लिए:

1. WordPress को 7.1.2 या उससे नए संस्करण में अपडेट करें (बैकपोर्ट: 6.8.10, 7.0.6, 7.1.2)।
2. एक WAF नियम जोड़ें जो उन अनुरोधों को ब्लॉक करे जिनके pagename में ../ या %2e%2e शामिल हो।
3. php.ini में register_argc_argv को अक्षम करें — यह PEAR गैजेट चेन को तोड़ देता है।
4. यदि PEAR की आवश्यकता नहीं है तो pearcmd.php को हटा दें।

; php.ini
register_argc_argv = Off

⚖️ कानूनी अस्वीकरण

केवल अधिकृत सुरक्षा परीक्षण के लिए