CVE-2026-87902

WordPress Core <= 7.1.1 비인증 LFI에서 RCE로 - 검증 랩, PoC, nuclei 템플릿 (GHSA-7hp8-65ch-5whp)

동일한 설정의 WordPress 7.1.2는 오라클을 완전히 차단한다 (음성 대조군). 이는 컨테이너 내부에서 WordPress 웹 서버 사용자 권한의 코드 실행을 입증한다. 루트 접근, 컨테이너 탈출, 측면 이동, 호스트 침해는 입증하지 않는다.

빠른 시작

요구사항: Compose v2가 포함된 Docker, Python 3.10+, Docker Hub 및 wordpress.org (테마 설치)에 대한 네트워크 접근.

취약한 랩을 빌드하고 LFI 오라클과 RCE 마커가 발동할 것을 요구한 다음, 패치된 랩을 빌드하고 오라클이 침묵할 것을 요구한다.

다른 루프백 포트를 사용하려면: LAB_PORT=9499 ./lab verify.

이후 모든 것을 제거하려면 ./lab reset.

예상 증거

취약한 대조군:

패치된 대조군:

HTTP 200, WAF 차단, 또는 오라클 마커 없는 부분적 트래버설은 증거로 인정되지 않는다.

수동 랩 라이프사이클

실행 중인 랩에 대해 도구를 직접 실행:

소유하거나 명시적으로 테스트 권한을 부여받은 시스템(버그 바운티 범위, 서면 계약)의 경우, 드라이버는 명시적 오버라이드를 요구한다:

근본 원인

wp-includes/template.php의 get_page_template()은 pagename 쿼리 변수로부터 후보 템플릿 파일명을 구성한다. 세 줄 위의 형제 분기는 페이지 템플릿 슬러그를 validate_file()을 통해 전달하지만, pagename 분기는 그렇게 하지 않았으며, 추가로 urldecode()로 디코딩된 후보를 하나 더 추가한다:

7.1.2는 디코딩된 후보에 validate_file()을 적용하고 추가로 모든 해석된 템플릿 경로가 통과해야 하는 포함 게이트 (_wp_is_template_path_allowed())를 추가한다.

전제 조건

1. 활성 테마(자식 또는 부모 - locate_template()은 둘 다 확인)가 page-로 시작하는 최상위 디렉터리를 포함해야 한다. 레거시 기본 테마(Twenty Twelve, Twenty Fourteen)와 여러 wp.org 테마(Neve, Hestia, Sydney)가 해당된다. 조사된 상용 테마(Divi, Avada, Flatsome, Woodmart, Betheme, The7, Enfold, Salient, Jupiter/X, Porto, Houzez, XStore, Kalium, Uncode)는 전혀 포함하지 않는다 - 트래버설이 해석될 수 없다; 미러 소스 목록은 PoC의 PRO_THEME_PAGE_DIRS를 참조.
2. 포함되는 파일은 .php로 끝나야 한다 (코드에 의해 추가됨).
3. RCE는 추가로 register_argc_argv = On과 PEAR의 pearcmd.php가 필요하다.

랩에서 검증된 운영 노트 (공개 권고문을 넘어서)

권고문과 Patchstack의 글은 작동하는 요청을 공개하지 않는다. 이 세부 사항들은 이 랩에서 경험적으로 확립되었다:

1. page_id 앵커가 필수적이다. 해석되지 않는 pagename은 is_404를 뒤집고, 그 템플릿이 get_page_template()을 완전히 가린다. 해석 가능한 게시된 page_id로 쿼리를 앵커링하라.
2. 완전한 이중 인코딩이 필요하다. get_posts()는 pagename을 sanitize_title_for_query( wp_basename( … ) )를 통해 재작성한다: 원시 ..는 -가 되지만 %hex 시퀀스는 살아남는다; get_page_template()의 추가 urldecode()가 트래버설을 드러낸다. %252e/%252f만 작동한다.
3. Pretty permalinks는 POST를 강제한다 (redirect_canonical이 GET을 301 리다이렉트하고 페이로드를 버린다; 비 GET/HEAD에 대해서는 즉시 반환한다).
4. 정확한 깊이: 표준 docroot에서 page-templates/로부터 ../ 네 번.
5. 페이로드는 POST 본문에서도 발동한다 (WP는 $_POST를 쿼리 변수에 병합한다) - WAF 우회 계층의 기반.
6. pearcmd 전송 특이사항: PHP는 $argv 토큰을 urldecode하지 않고, PEAR의 설정 직렬화기는 두 인용 스타일 모두 이스케이프한다 - 따라서 원시적이고 인용 없는 + 구분 프로브.

툴킷

WAF 핑거프린팅은 Imperva/Incapsula, Cloudflare, Akamai, AWS CloudFront/WAF, Sucuri, F5를 포함한다. 8가지 오라클 변형: 이중 인코딩, 대체 %25%32%65 표기, 파라미터 오염, 삼중 인코딩 - 각각 쿼리 스트링과 POST 본문에서. 멀티파트 본문과 원시 슬래시 페이로드는 테스트되었고 거부되었다 (WP는 이 싱크에 대해 이를 처리하지 않는다).

영향받는 버전 및 테스트된 버전

저장소 구조

커밋되지 않음: .lab-state, __pycache__/, 스크리너 출력 파일.

검증 경계

참고 자료

• GHSA-7hp8-65ch-5whp
• Patchstack: WordPress 7.1.2 보안 릴리스 - 비인증 LFI에서 RCE로
• Hadrian: CVE-2026-87902 작동 PoC - 독립적 재구성 (page_id 앵커와 이중 인코딩 요구사항을 확인; 비교용 wp-content/index.php 빈 본문 오라클의 출처로, 강화된 사이트를 위한 폴백으로 여기에 포함됨)
• dinosn: cve-2026-87902-wordpress-lfi-lab (동일한 요청 형태에 도달한 독립 랩; 모든 오라클 적중에 현재 적용되는 존재하지 않는 대상 인과 대조군의 출처)
• WordPress 7.1.2 릴리스 공지
• NVD 항목

취약점은 Robert Ressl에 의해 보고되었다. 이 저장소는 독립적인 제3자 분석 및 도구이다.

라이선스

MIT - LICENSE 참조.

안전 경계

이 저장소는 소유하거나 명시적으로 테스트 권한을 부여받은 시스템에서만 실행하라. 랩 드라이버는 vulnerable/patched 이외의 변형을 거부하고, Python 드라이버는 --allow-authorized-non-loopback이 제공되지 않는 한 비루프백 대상을 거부하며, Compose 포트는 127.0.0.1에 바인딩된다.

공개 처리에 대해서는 SECURITY.md를 참조. 이 저장소는 프로덕션 대상, 고객 데이터, 액세스 토큰, 또는 실제 시스템의 증거를 포함하지 않는다.

구체적으로:

• Docker는 WordPress를 127.0.0.1에만 게시한다.
• 기본 PoC 모드는 무해한 LFI 오라클이다: OPML 문서를 출력하는 스톡 코어 파일인 wp-links-opml.php를 포함한다.
• --rce는 옵트인이며, 공개적으로 문서화된 pearcmd.php config-create 기법을 통해 인용 없는, 자체 삭제 마커 프로브 (<?=id,unlink(__FILE__)?>)를 작성한다; 프로브는 단일 실행 시 스스로를 제거하고 PoC가 삭제를 검증한다. 셸, 콜백, 지속성 없음.
• 랩은 매 start마다 원본 공식 이미지에서 재프로비저닝한다; 대상 계측 없음.
• 요청은 단일 호스트, 순차적, 속도 제한된다. 대량 스캔 없음.