PoC em Python e scanner para CVE-2026-87902, uma path traversal no core do WordPress que leva a LFI e RCE baseado em PEAR, com bypass de WAF e exploração automatizada.

Causa Raiz

get_page_template() em wp-includes/template.php chama urldecode() no parâmetro de consulta pagename depois de a sanitização já ter sido executada. Uma sequência ../ com dupla codificação (%252E%252E%252F) passa pela primeira descodificação do PHP como %2E%2E%2F, sobrevive a sanitize_title_with_dashes() (que preserva sequências %xx), e é depois descodificada pela chamada tardia urldecode() do WordPress para ../ — escapando do diretório do tema.

O método POST é necessário porque redirect_canonical() retorna antecipadamente para pedidos não-GET/HEAD, impedindo que o caminho seja normalizado antes de atingir o código vulnerável.

Fluxo de Exploração

Impacto

• Inclusão Local de Ficheiro — ficheiros .php arbitrários fora do diretório do tema são incluídos e executados
• Execução Remota de Código — através da cadeia de gadget PEAR pearcmd.php (requer PEAR instalado + register_argc_argv=On)

Cadeia de RCE via PEAR

Dois pedidos POST anónimos permitem obter RCE:

Fase 1 — Incluir pearcmd.php através de traversal. A query string /?+config-create+/<php-payload>+<output>.php torna-se no argv do PEAR. O comando config-create escreve dados controlados pelo atacante (incluindo tags PHP) num diretório com permissões de escrita.

Fase 2 — Incluir o ficheiro escrito pelo PEAR. O PHP incorporado é executado com os privilégios do servidor web.

Os payloads PHP usam codificação chr() (<?=shell_exec(chr(105).chr(100))?>) para evitar caracteres de aspas que wp_magic_quotes() escaparia.

Ferramenta

cve-2026-87902.py — verificador automatizado + scanner LFI + exploit de RCE via PEAR. Usa http.client para controlo de pedidos byte-exato (sem re-codificação por bibliotecas).

Requisitos

Python 3.6+ (apenas biblioteca padrão — sem dependências pip)

Utilização

O Que Faz

1. Deteção de tema — extrai o tema ativo do HTML, sonda diretórios page-*
2. Descoberta de páginas — consulta a REST API para páginas publicadas com templates predefinidos
3. Teste de traversal — varre múltiplas profundidades (1-12) com payloads POST com dupla codificação
4. Bypass de WAF — --multipart envolve o payload em multipart/form-data para evadir a correspondência de padrões da WAF
5. Scan LFI — inclui ficheiros conhecidos do WordPress e compara tamanhos de resposta com a linha de base
6. RCE — cadeia PEAR em duas fases com payloads codificados em chr()

Marcadores de Saída

Pré-condições

• O tema ativo deve conter um diretório page-* (por exemplo, page-templates/)
• Pelo menos uma página publicada com o template predefinido
• Versão do WordPress no intervalo afetado (sem patch)
• Para RCE: pearcmd.php do PEAR legível + register_argc_argv=On + /tmp com permissões de escrita

Remediação

Atualize para o WordPress 7.1.2 ou a versão de segurança mais recente para o seu ramo (backports disponíveis para 4.7).

Referências

• Robert Ressl — CVE-2026-87902 Write-up
• WordPress Security Advisory — GHSA-7hp8-65ch-5whp
• Hadrian Vulnerability Alert

Aviso Legal

Esta ferramenta é fornecida apenas para testes de segurança autorizados e investigação de bug bounty. Utilize-a apenas contra sistemas para os quais tem permissão explícita de teste. O acesso não autorizado a sistemas informáticos é ilegal.