---

🔍 Panoramica

Una moderna GUI Tkinter (solo libreria standard, nessuna dipendenza di terze parti) per CVE-2026-87902 — una Local File Inclusion non autenticata nel core di WordPress tramite il parametro pagename di get_page_template(), escalata a Remote Code Execution attraverso una catena di gadget PEAR (pearcmd.php + config-create).

• Affected: WordPress 4.7.0 – 7.1.1
• Fixed in: 6.8.10, 7.0.6, 7.1.2
• CVSS: 9.8 — CWE: 22 — GHSA: 7hp8-65ch-5whp

---

✨ Funzionalità

• 🎯 Scansione singola e di massa — un singolo target o una lista di URL da file, multi-thread
• 🔎 Fingerprinting — rileva WordPress, la versione del core e il tema attivo
• 🧪 Verifica non distruttiva — la modalità check-only conferma la LFI senza eseguire nulla
• 💥 LFI → RCE — forza bruta su pearcmd.php (Linux + XAMPP/Windows) su profondità 1–19, scrive PHP tramite config-create
• 📁 Deployment del File Manager — rilascia fm_<hex>.php nella directory di drop configurata una volta che la RCE riesce
• 🛡️ Protezione dai falsi positivi — sonda di controllo negativo sull'oracolo OPML (rileva output ambientale)
• 🎨 Interfaccia Hacker Console — tema dark-neon, matrix rain, console con colori, statistiche in tempo reale, barra di avanzamento
• 📊 Esportazione CSV — esporta l'intero set di risultati in CSV

---

📦 Requisiti

• Python 3.8 o superiore
• Nessun pip install necessario — pura libreria standard (tkinter, urllib, ssl, socket, gzip, zlib, threading, queue, ...)

Se Tkinter manca sul tuo sistema (è un pacchetto del sistema operativo, non un pacchetto pip):

Piattaforma	Comando
Debian / Ubuntu	sudo apt install python3-tk
Fedora / RHEL	sudo dnf install python3-tkinter
Arch Linux	sudo pacman -S tk
macOS (Homebrew)	brew install python-tk
Windows	Incluso nell'installer ufficiale di Python

---

⚡ Avvio Rapido

git clone https://github.com/tonydelouvre/CVE-2026-87902.git
cd CVE-2026-87902
python3 xwp_gui.py

Scorciatoie da tastiera:

Tasto	Azione
Ctrl+Enter	Avvia scansione
Esc	Ferma scansione

---

🎯 Utilizzo

1. TARGET — scegli SINGLE (un URL) o MASS, poi BROWSE LIST un file .txt contenente un URL per riga.
2. MODE — seleziona exploit -> RCE e deploy file manager per la catena completa, oppure check-only per una verifica sicura.
3. ADVANCED — regola oracle, depths, segments, probe, threads, timeout, proxy.
4. Premi START SCAN e osserva le schede CONSOLE e RESULTS.

Campi di configurazione

Campo	Predefinito	Descrizione
target url	–	URL base di destinazione (modalità singola)
target list	–	File di URL (modalità massiva)
command	id	Comando eseguito una volta ottenuto l'RCE
drop dir	/tmp	Directory in cui viene scritto il File Manager
oracle	wp-links-opml	File core sfruttato come oracle LFI
depths	4,3,5,6,7	Profondità di traversal ../ da provare
segments	templates,templates/page-templates,page-templates	Directory page-* del tema
probe	12	Numero di valori page_id da sondare
threads	10	Worker paralleli (max 50)
timeout	12.0	Timeout per richiesta in secondi
max time	60.0	Budget di tempo per target in secondi
proxy	–	http://host:port

Costruzione del payload

build_pagename() produce segment + %252f + N× %252e%252e%252f + target, applicando una doppia codifica URL:

/?page_id=<N>&pagename=templates%252f%252e%252e%252f...%252fwp-links-opml

🔬 Come funziona

Fase	Modulo	Azione
1. Fingerprint	Fingerprinter	Rileva WordPress + versione (generator, ?ver=, wp-links-opml.php) e tema
2. Precondizione	PreconditionChecker	Individua la directory page-* del tema usata come segmento di traversal
3. Discovery	PageDiscoverer	Raccoglie i valori page_id tramite REST API, sitemap, shortlink, classi page-id-
4. LFI	TraversalExploiter	Richiede ?page_id=N&pagename=<percorso con doppia codifica> e cerca l'oracolo <opml version=
5. RCE	RCEEscalator	Individua un gadget pearcmd.php a profondità 1–19, scrive PHP tramite pear +config-create+, esegue il comando
6. Post-exploit	shell.php	Distribuisce il File Manager (fm_<hex>.php) nella directory di drop

Scorciatoie sulla versione: se il fingerprint riporta patched o out_of_range, il target viene saltato immediatamente per risparmiare tempo.

---

🖥️ Output

La scheda RESULTS mostra le colonne target, verdict, version, lfi, rce, shell. Le righe classificate VULNERABLE sono evidenziate in ciano; le righe che hanno ottenuto RCE diventano magenta. EXPORT scrive tutto in CSV:

target,verdict,version,lfi,rce,shell,detail
http://target.local,VULNERABLE,6.4,templates/../../ d=4 POST,uid=33(www-data),http://target.local/?page_id=2&pagename=...,

🛡️ Mitigazione

Per gli amministratori di sistema:

1. Aggiornare WordPress alla versione 7.1.2 o successiva (backport: 6.8.10, 7.0.6, 7.1.2).
2. Aggiungere una regola WAF che blocchi le richieste il cui pagename contiene ../ o %2e%2e.
3. Disabilitare register_argc_argv in php.ini — questo interrompe la catena di gadget PEAR.
4. Rimuovere pearcmd.php se PEAR non è necessario.

; php.ini
register_argc_argv = Off