CVE-2026-87902-PoC-pwnVader

Shell PoC per CVE-2026-87902, un LFI non autenticato del core di WordPress tramite la risoluzione dei page-template che concatena a RCE attraverso pearcmd.php.

Riepilogo

get_page_template() aggiunge page-{urldecode(pagename)}.php alla gerarchia dei template di pagina quando la variabile di query pagename contiene caratteri codificati in percentuale, e locate_template() risolve il candidato con file_exists() / require senza validare che il percorso rimanga all'interno del tema attivo. Un attaccante non autenticato può quindi includere ed eseguire un file .php locale leggibile scelto al di fuori del tema attivo.

Precondizioni:

1. WordPress < 7.1.2.
2. Il tema attivo contiene una directory di primo livello che inizia con page- (ad esempio il tema ufficiale Twenty Fourteen include page-templates/). Il nome del template è sempre preceduto da page-, quindi il primo componente del percorso deve esistere.
3. Un ID di pagina pubblico valido affinché la query principale sia una pagina (non un 404). Lo script ne individua uno dalla sitemap del core, dalla classe del body della homepage, o da una piccola sonda di ID.

Il payload è doppiamente codificato in modo che sanitize_title_for_query() preservi gli ottetti %2e/%2f; urldecode() all'interno di get_page_template() ricostruisce quindi ../ al momento della risoluzione del template.

Se il server ha anche un pearcmd.php raggiungibile e register_argc_argv = On (il valore predefinito nell'immagine PHP ufficiale), la catena si escala a esecuzione di codice in remoto: la query string diventa argv CLI tramite separatori +, pear config-create scrive un file .php controllato dall'attaccante, e la stessa LFI lo include.

Utilizzo

Opzioni: --page-id N, --ups N, --pearcmd PATH, --timeout N. --authorized (o VDP_AUTHORIZED=1) è richiesto per qualsiasi modalità che possa scrivere quando il target non è localhost.

Output di esempio (check)

Output di esempio (check-rce / rce)

Se la LFI è confermata ma PEAR è assente (o register_argc_argv è Off), lo script segnala chiaramente la precondizione ed esce senza scrivere nulla (exit 3).

Logica di rilevamento

1. Trovare un ID di pagina pubblico (sitemap → classe del body della homepage → sonda numerica).
2. Per ogni directory del tema candidata page-* e profondità di traversal, richiedere page-<dir>/../../…/wp-includes/version.php tramite il parametro pagename (POST, body vuoto — necessario perché WordPress reindirizza prima con canonical redirect GET/HEAD).
3. Una risposta 200 con un body di 0 byte (rispetto alla baseline della pagina di diversi KB) prova l'inclusione.
4. Verifica RCE: tentare pear config-create tramite la LFI con un payload auto-eliminante, quindi includere il file scritto con un comando fornito nella richiesta.

Causa principale / correzione

Correzione del vendor in 7.1.2 (wp-includes/template.php):

più un controllo di contenimento realpath() in locate_template() (_wp_is_template_path_allowed()). wordpress-7.0.6 contiene la correzione identica a livello di byte.

Remediation

• Aggiornare il core di WordPress a 7.1.2 (o 7.0.6 per il ramo 7.0).
• Nel frattempo: rifiutare i valori pagename contenenti sequenze di traversal (.., %2e%2e, %252e%252e) su ogni metodo HTTP, oppure rimuovere la precondizione della directory del tema page-*.

Riferimenti

• NVD — CVE-2026-87902: https://nvd.nist.gov/vuln/detail/CVE-2026-87902
• Avviso del vendor: https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-7hp8-65ch-5whp
• Release corrette: https://wordpress.org/wordpress-7.1.2.tar.gz · https://wordpress.org/wordpress-7.0.6.tar.gz

Disclaimer

Solo per test di sicurezza autorizzati. Le modalità RCE utilizzano un payload auto-eliminante e non scrivono nulla oltre al proprio file marcatore temporaneo, ma eseguono comunque comandi sul target — eseguirle solo dove si ha esplicita autorizzazione.