WordPress Core <= 7.1.1 未認証LFIからRCE - 検証ラボ、PoC、nucleiテンプレート (GHSA-7hp8-65ch-5whp)

同一構成の WordPress 7.1.2 では、オラクルは完全にブロックされます (ネガティブコントロール)。これはコンテナ内の WordPress Web サーバーユーザーとしてのコード実行を実証するものです。root アクセス、コンテナエスケープ、横展開、ホストの侵害を実証するものではありません。

クイックスタート

要件: Docker with Compose v2、Python 3.10+、Docker Hub および wordpress.org (テーマインストール) へのネットワークアクセス。

これは脆弱なラボをビルドし、LFI オラクルと RCE マーカーが発火することを要求し、その後パッチ適用済みラボをビルドしてオラクルが沈黙を保つことを要求します。

別のループバックポートを使用する場合: LAB_PORT=9499 ./lab verify。

その後、./lab reset ですべてを削除します。

期待されるエビデンス

脆弱なコントロール:

パッチ適用済みコントロール:

HTTP 200、WAF ブロック、またはオラクルマーカーを伴わない部分的なトラバーサルは、証明として受け入れられません。

手動ラボライフサイクル

実行中のラボに対してツールを手動で実行します:

所有している、または明示的にテストを許可されているシステム (バグバウンティのスコープ、書面による契約) の場合、ドライバーは明示的なオーバーライドを要求します:

根本原因

wp-includes/template.php の get_page_template() は、pagename クエリ変数から候補テンプレートファイル名を構築します。3行上の兄弟ブランチはページテンプレートスラッグを validate_file() に通していますが、pagename ブランチはそうしておらず、さらに urldecode() でデコードされた候補を追加でプッシュします:

7.1.2 では、デコードされた候補に validate_file() を適用し、さらに 解決されたすべてのテンプレートパスが通過しなければならない封じ込めゲート (_wp_is_template_path_allowed()) を追加しています。

前提条件

1. アクティブなテーマ (子テーマ または 親テーマ - locate_template() は両方をチェックします) が、page- で始まるトップレベルディレクトリを含んでいること。レガシーなデフォルトテーマ (Twenty Twelve、Twenty Fourteen) およびいくつかの wp.org テーマ (Neve、Hestia、Sydney) が該当します。調査した商用テーマ (Divi、Avada、Flatsome、Woodmart、Betheme、The7、Enfold、Salient、Jupiter/X、Porto、Houzez、XStore、Kalium、Uncode) は いずれも含んでいません - トラバーサルは解決できません。ミラーソースのリストについては PoC の PRO_THEME_PAGE_DIRS を参照してください。
2. インクルードされるファイルは .php で終わる必要があります (コードによって追加されます)。
3. RCE にはさらに register_argc_argv = On と PEAR の pearcmd.php が必要です。

ラボで検証された運用上の注意点 (公開アドバイザリを超えて)

アドバイザリと Patchstack の記事は、動作するリクエストを公開することを控えています。これらの詳細は、このラボで経験的に確立されました:

1. page_id アンカーは必須です。 解決されない pagename は is_404 を反転させ、そのテンプレートが get_page_template() を完全に覆い隠します。解決可能な公開済みの page_id でクエリをアンカーしてください。
2. 完全な二重エンコーディングが必要です。 get_posts() は sanitize_title_for_query( wp_basename( … ) ) を介して pagename を書き換えます: 生の .. は - になりますが、%hex シーケンスは生き残ります。get_page_template() 内の追加の urldecode() がトラバーサルを明らかにします。%252e/%252f のみが機能します。
3. プリティパーマリンクは POST を強制します (redirect_canonical は GET を 301 リダイレクトし、ペイロードを破棄します。非 GET/HEAD の場合は即座に戻ります)。
4. 正確な深さ: 標準的な docroot 上の page-templates/ から ../ が4つ。
5. ペイロードは POST ボディからも発火します (WP は $_POST をクエリ変数にマージします) - これが WAF 回避層の基礎です。
6. pearcmd トランスポートの癖: PHP は $argv トークンを urldecode せず、PEAR の設定シリアライザは両方の引用符スタイルをエスケープします - したがって、生の、引用符なしの、+ 区切りのプローブとなります。

ツールキット

WAF フィンガープリンティングは Imperva/Incapsula、Cloudflare、Akamai、AWS CloudFront/WAF、Sucuri、F5 をカバーします。8 つのオラクルバリアント: 二重エンコード、代替 %25%32%65 表記、パラメータポリューション、三重エンコード - それぞれクエリ文字列と POST ボディ内。マルチパートボディと生スラッシュペイロードはテストされ、拒否されました (WP はこのシンクに対してそれらを処理しません)。

影響を受けるバージョンとテスト済みバージョン

リポジトリレイアウト

コミットされていないもの: .lab-state、__pycache__/、スクリーナー出力ファイル。

検証の境界

参考文献

• GHSA-7hp8-65ch-5whp
• Patchstack: WordPress 7.1.2 security release - unauthenticated LFI to RCE
• Hadrian: CVE-2026-87902 working PoC - independent reconstruction (page_id アンカーと二重エンコーディング要件を確認; 比較用の wp-content/index.php 空ボディオラクルの出典。ここでは堅牢化されたサイト向けのフォールバックとして含まれています)
• dinosn: cve-2026-87902-wordpress-lfi-lab (同じリクエスト形状に到達した独立したラボ; 現在すべてのオラクルヒットに適用されている存在しないターゲットの因果関係コントロールの出典)
• WordPress 7.1.2 release announcement
• NVD entry

脆弱性は Robert Ressl によって報告されました。このリポジトリは独立した第三者による分析とツールです。

ライセンス

MIT - LICENSE を参照してください。

安全境界

このリポジトリは、所有している、または明示的にテストを許可されているシステムでのみ実行してください。ラボドライバーは vulnerable/patched 以外のバリアントを拒否し、Python ドライバーは --allow-authorized-non-loopback が指定されない限り非ループバックターゲットを拒否し、Compose ポートは 127.0.0.1 にバインドされています。

開示の取り扱いについては SECURITY.md を参照してください。このリポジトリには、本番ターゲット、顧客データ、アクセストークン、実際のシステムからのエビデンスは含まれていません。

具体的には:

• Docker は WordPress を 127.0.0.1 のみで公開します。
• デフォルトの PoC モードは 無害な LFI オラクル です: wp-links-opml.php (OPML ドキュメントを出力する標準コアファイル) をインクルードします。
• --rce はオプトインであり、公開文書化された pearcmd.php の config-create 技術を介して 引用符なしの自己削除 マーカープローブ (<?=id,unlink(__FILE__)?>) を書き込みます。プローブはその単一実行で自身を削除し、PoC は削除を検証します。シェル、コールバック、永続化はありません。
• ラボは start ごとにクリーンな公式イメージから再プロビジョニングします。ターゲットのインストルメンテーションはありません。
• リクエストは単一ホスト、順次、レート制限されています。大量スキャンはありません。