요약

WordPress는 선택된 파일이 테마 루트 내부에 머무는지 결코 증명하지 않는 연쇄를 통해 Page 템플릿을 해석한다:

1. pagename과 page_id는 WP::parse_request()가 익명 POST 본문에서 받아들이는 공개 쿼리 변수이다.
2. pagename 내의 이중 인코딩된 순회는 초기 쿼리 정제를 이스케이프된 %xx 옥텟으로 통과한다 (wp_basename()은 %2f를 구분자로 인식하지 못하며, sanitize_title_with_dashes()는 유효한 옥텟을 의도적으로 유지한다).
3. 이후 유효한 page_id가 실제 게시된 Page를 선택하는 동안 악의적인 pagename은 쿼리 객체에 남아 있다.
4. get_page_template()이 나중에 해당 값에 urldecode()를 호출하고 page-templates/../../../../../../../usr/local/lib/php/pearcmd.php와 같은 후보를 템플릿 계층에 추가한다.
5. locate_template()과 최종 템플릿 로더는 존재 여부, 읽기 가능 여부, .php/.html 접미사만 확인할 뿐 — 정규화된 경로가 여전히 허용된 테마 루트 내부에 있는지는 결코 확인하지 않으며 — 그런 다음 이를 include한다.

이것은 WordPress Core의 비인증 원격 로컬 파일 포함 프리미티브이다. 테스트된 공식 런타임(wordpress:php8.3-apache, PEAR를 번들로 포함하고 php.ini를 로드하지 않아 register_argc_argv가 On임)에서 이 포함은 PEAR의 pearcmd.php를 통해 연쇄되었다: 첫 번째 익명 요청이 config-create로 하여금 공격자가 제어하는 PHP를 /tmp에 작성하게 하고, 두 번째 익명 요청이 그 파일을 포함하여 www-data로 실행한다.

Core의 누락된 경로 격리가 취약점이다. PEAR는 포함에서 코드 실행으로 이어지는 환경 의존적 경로 중 하나일 뿐이며 — WordPress 의존성이 아니고 모든 배포에서 존재하거나 사용 가능한 것도 아니다.

근본 원인

검증된 소스 위치 (WordPress 7.0.2):

전제 조건

독립 실행형 포함 프리미티브에는 다음이 필요하다:

시연된 PEAR 단계에는 추가로 읽을 수 있는 pearcmd.php (및 그 의존성), 웹 SAPI에 대한 register_argc_argv=On, 쓰기 가능한 출력 디렉터리가 필요하다. 프로덕션 php.ini 파일은 register_argc_argv=Off로 설정한다; 테스트된 이미지는 php.ini를 로드하지 않아 컴파일된 기본값(On)이 적용되었다. 이는 시연된 코드 실행 연쇄의 보급률에 대한 중요한 제한이다.

번들로 제공되는 Twenty Twenty-Three/Four/Five 테마는 최상위 page-* 디렉터리를 제공하지 않으므로, 기본 랩에는 아래에 설명된 픽스처가 필요하다. 사용자 정의 테마는 page-templates/ 레이아웃을 정당하게 사용할 수 있다 (WordPress 문서).

권고는 이러한 조건이 배포된 소프트웨어에서 어디서 발생하는지 기록한다: 테마 조건은 레거시 Twenty Twelve 및 Twenty Fourteen 테마와 Neve, Hestia, Sydney 같은 서드파티 테마에서 충족되며, PEAR 전환은 공식 PHP Docker 이미지와 PHP 8.5 미만을 실행하는 기본 cPanel 구성에 적용된다. (Twenty Twelve와 Twenty Fourteen은 모두 최상위 page-templates/ 디렉터리를 제공한다; 나머지 진술은 권고의 것이다.) 이 저장소는 전체 연쇄가 얼마나 자주 적용되는지 측정하지 않는다.

빠른 시작

cve-2026-87902.py는 Python 3.6+ (표준 라이브러리만)가 필요하며 기본적으로 http://127.0.0.1:8091의 랩에 접속한다. 예상 출력:

종료 코드는 성공 시 0, 그렇지 않으면 1이므로 PoC는 회귀/탐지 검사로도 작동한다.

정리: docker compose down -v.

검증된 결과

2026-09-22, 이 랩 환경에서 실행 (Docker 29.4, OrbStack, Apple silicon):

증명 아티팩트는 컨테이너 내부의 /flag로, root 소유이며 전 세계 읽기 가능(root:root, 모드 0444)하다. 이는 웹 서버 계정으로서 PHP 실행과 파일 접근을 증명하며; 권한 상승 대상이 아니다.

연쇄 작동 방식

두 번의 익명 POST. WordPress 라우팅 값은 폼 본문으로, PEAR 인수는 원시 쿼리 문자열로 전달된다 (PHP는 원시 쿼리 문자열을 리터럴 +로 분할하여 argv로 만들고 개별 인수를 URL 디코딩하지 않는다):

단계 1 — pearcmd.php를 포함하고 페이로드 작성:

단계 2 — 생성된 파일을 포함하고 그 PHP 실행:

중요한 세부 사항:

• 두 개의 인코딩 계층. 본문은 PHP에 의해 한 번 디코딩되어 templates%2f%2e%2e%2f...가 된다; 정제기는 그 옥텟을 유지하며, 오직 get_page_template()의 늦은 urldecode()만이 이를 /와 ..로 바꾼다.
• page- 접두사. WordPress는 값 앞에 page-를 붙이므로, 픽스처 디렉터리 page-templates/는 선행 templates 세그먼트에 대응한다.
• 강제 .php 접미사. 후보는 page-<decoded>.php이므로, 대상은 접미사 없이 주어진다 (.../pearcmd, /tmp/wp-pear-rce-flag).
• GET이 아닌 POST. redirect_canonical()은 비 GET/HEAD 요청을 건너뛰며, 폼 본문은 쿼리 문자열이 PEAR 인수만 전달하도록 한다.
• 따옴표 없는 페이로드. wp_magic_quotes()는 $_SERVER에도 적용되므로, 서버가 구성한 argv는 이스케이프되고 PEAR가 나중에 백슬래시를 정규화한다. 검증된 페이로드는 chr()을 사용하며 따옴표 문자를 포함하지 않는다. (이는 <?=file_get_contents('/flag')?>로 축약된다.)
• config-create 루트 경로. PEAR는 상대 루트를 거부하므로 (Root directory must be an absolute path beginning with "/"), 페이로드가 루트 경로 자체로 주입된다.
• 깊이. cve-2026-87902.py는 순회가 대상에 도달할 때까지 .. 세그먼트를 순회한다 (이 랩의 레이아웃에서는 7, 고정하려면 --depth).

랩

lab/up.sh는 세 단계를 수행하며 재실행해도 안전하다:

1. docker compose up -d --build --wait — 고정된 wordpress:7.0.2-php8.3-apache와 mysql:8.4, 포트 127.0.0.1:8091 (루프백 전용).
2. 사이트가 아직 설치되지 않은 경우 WordPress 설치 프로그램(admin / adminadmin)을 실행한다.
3. 활성 테마 내부에 픽스처를 생성하고 출력한다: wp-content/themes/twentytwentyfive/page-templates/, root:root, 모드 0755, 비어 있음.

랩 이미지는 컴파일된 기본값에 의존하는 대신 register_argc_argv=On을 명시적으로 추가하고 (lab/Dockerfile), /flag를 내장한다 (root:root, 모드 0444, 내용 CVE-2026-87902-POC-OK).

롤링 wordpress:php8.3-apache 태그는 이 랩에 사용할 수 없다: 버그가 7.1.2에서 수정되었으며 고정되지 않은 태그는 랩을 조용히 패치된 상태로 만든다.

음성 대조 및 제한 사항

검증되거나 문서화된 대조:

• 테마에 최상위 page-* 디렉터리가 없음 → 고정된 접두사를 제거할 수 없고 순회가 결코 시작되지 않음 (검증됨: 픽스처 제거 → 마커 없음).
• register_argc_argv=Off → PEAR 작성자 없음, 그러나 포함 프리미티브는 남음.
• PEAR 또는 그 의존성 부재 → 작성자 없음.
• 잘못된 수의 .. 세그먼트 → 대상에 도달하지 못함 (검증됨: 깊이 1-6 및 8-12는 랩에서 마커를 생성하지 않음).
• Page에 할당된 사용자 정의 페이지 템플릿 → 악의적 후보보다 먼저 정렬되어 우선함.
• 접미사 없는 파일 (예: /flag)은 직접 읽을 수 없음 — 후보에 .php가 추가됨.
• 요청 대상에서 원시 <, >, = 바이트를 거부하는 WAF/CDN/리버스 프록시는 PEAR 인수 채널을 깨뜨림 (배포별).
• open_basedir/MAC 격리 또는 쓰기 불가능한 출력 디렉터리는 연쇄를 깨뜨림; /tmp의 noexec는 그렇지 않음 (PHP는 파일을 읽고 해석함).

이 PoC는 하나의 검증된 구성을 재현한다. 모든 WordPress 설치가 익스플로잇 가능하다고 주장하지 않으며, 보급률을 측정하지도 않는다.

완화 조치

• 업그레이드 — WordPress 7.1.2 이상 (또는 해당 브랜치의 백포트)으로.
• 템플릿 처리에 대한 심층 방어: 디코딩 후 순회 및 절대 경로 후보를 거부하고 (예: validate_file()), 위치가 확인된 템플릿을 포함하기 전에 후보와 테마 루트의 realpath()를 후행 디렉터리 구분자와 함께 비교한다.
• 운영자 완화 조치: 웹 SAPI에 대해 register_argc_argv=Off를 설정하고, 프로덕션 이미지에서 사용하지 않는 웹 판독 가능 PEAR 진입점을 제거하고, 자식 및 부모 테마의 최상위 page-* 디렉터리를 감사하고, PHP 계정의 쓰기 접근을 제한한다.

파일

공개 타임라인

보고서는 초기 분류가 수정된 후 유효한 보안 발견으로 승인되었다; 서신은 그 승인 날짜를 명시하지 않는다.

면책 조항

이 저장소는 방어 및 연구 목적으로 공개된다. 소유하거나 명시적으로 테스트 권한을 부여받은 시스템에만 사용하라. 랩은 127.0.0.1에 바인딩되어 있으며 신뢰할 수 없는 네트워크에 노출되어서는 안 된다.

라이선스

MIT — LICENSE 참조. 인용 메타데이터는 CITATION.cff에 있다:

Ressl, Robert (2026). CVE-2026-87902 PoC: unauthenticated path traversal in WordPress page-template resolution (v1.0.0). https://ressl.ch

취약점 보고서와 이 PoC는 구성 및 일관성 검토를 위해 AI 지원으로 준비되었다; 기술적 주장에 대한 책임은 연구자에게 있다.