CVE-2026-87902

WordPress Core <= 7.1.1 LFI não autenticado para RCE - laboratório de validação, PoC, template nuclei (GHSA-7hp8-65ch-5whp)

O WordPress 7.1.2 com a configuração idêntica bloqueia o oráculo por completo (controlo negativo). Isto demonstra execução de código como o utilizador do servidor web do WordPress dentro do contentor. Não demonstra acesso root, escape do contentor, movimento lateral ou comprometimento do anfitrião.

Início rápido

Requisitos: Docker com Compose v2, Python 3.10+, acesso de rede ao Docker Hub e wordpress.org (instalação de temas).

Isto constrói o laboratório vulnerável, exige que o oráculo LFI e o marcador RCE disparem, depois constrói o laboratório corrigido e exige que o oráculo permaneça silencioso.

Para usar outra porta de loopback: LAB_PORT=9499 ./lab verify.

Remova tudo depois com ./lab reset.

Evidência esperada

Controlo vulnerável:

Controlo corrigido:

Um HTTP 200, um bloqueio de WAF, ou uma travessia parcial sem o marcador do oráculo não é aceite como prova.

Ciclo de vida manual do laboratório

Execute as ferramentas manualmente contra o laboratório em execução:

Para sistemas que possui ou está explicitamente autorizado a testar (âmbito de bug-bounty, compromisso por escrito), os drivers exigem a substituição explícita:

Causa raiz

get_page_template() em wp-includes/template.php constrói um nome de ficheiro de modelo candidato a partir da variável de consulta pagename. O ramo irmão três linhas acima passa o slug do modelo de página por validate_file(); o ramo pagename nunca o fez, e adicionalmente introduz um candidato extra descodificado com urldecode():

O 7.1.2 aplica validate_file() ao candidato descodificado e adiciona uma barreira de contenção (_wp_is_template_path_allowed()) que todos os caminhos de modelo resolvidos têm de passar.

Pré-condições

1. O tema ativo (filho ou pai - locate_template() verifica ambos) inclui um diretório de nível superior que começa por page-. Temas padrão legados (Twenty Twelve, Twenty Fourteen) e vários temas do wp.org (Neve, Hestia, Sydney) qualificam-se. Temas comerciais pesquisados (Divi, Avada, Flatsome, Woodmart, Betheme, The7, Enfold, Salient, Jupiter/X, Porto, Houzez, XStore, Kalium, Uncode) não incluem nenhum - a travessia não consegue resolver; consulte PRO_THEME_PAGE_DIRS no PoC para a lista obtida por espelhamento.
2. O ficheiro incluído tem de terminar em .php (anexado pelo código).
3. O RCE necessita adicionalmente de register_argc_argv = On e do pearcmd.php do PEAR.

Notas operacionais verificadas em laboratório (para além dos avisos públicos)

O aviso e o artigo da Patchstack recusam publicar um pedido funcional. Estes detalhes foram estabelecidos empiricamente neste laboratório:

1. Uma âncora page_id é obrigatória. Um pagename não resolvido inverte is_404, cujo modelo ofusca completamente get_page_template(). Ancore a consulta com qualquer page_id publicado e resolvível.
2. É necessária codificação dupla completa. get_posts() reescreve pagename através de sanitize_title_for_query( wp_basename( … ) ): .. em bruto torna-se -, mas as sequências %hex sobrevivem; o urldecode() extra em get_page_template() revela a travessia. Apenas %252e/%252f funciona.
3. Permalinks bonitos forçam POST (redirect_canonical faz 301 a GET e descarta o payload; retorna imediatamente para não-GET/HEAD).
4. Profundidade exata: quatro ../ a partir de page-templates/ num docroot padrão.
5. O payload também dispara a partir do corpo POST (o WP funde $_POST nas variáveis de consulta) - a base dos níveis de evasão de WAF.
6. Particularidades do transporte pearcmd: o PHP não faz urldecode dos tokens de $argv, e o serializador de configuração do PEAR escapa ambos os estilos de aspas - daí a sonda em bruto, sem aspas, separada por +.

Conjunto de ferramentas

A impressão digital de WAF cobre Imperva/Incapsula, Cloudflare, Akamai, AWS CloudFront/WAF, Sucuri, F5. Oito variantes de oráculo: codificação dupla, grafia alternativa %25%32%65, poluição de parâmetros, codificação tripla - cada uma em query string e corpo POST. Corpos multipart e payloads com barra em bruto foram testados e rejeitados (o WP não os processa para este sink).

Versões afetadas e testadas

Estrutura do repositório

Não versionado: .lab-state, __pycache__/, ficheiros de saída do screener.

Limites de validação

Referências

• GHSA-7hp8-65ch-5whp
• Patchstack: WordPress 7.1.2 security release - unauthenticated LFI to RCE
• Hadrian: CVE-2026-87902 working PoC - independent reconstruction (confirma a âncora page_id e os requisitos de codificação dupla; fonte do oráculo comparativo de corpo vazio wp-content/index.php, incluído aqui como fallback para sites endurecidos)
• dinosn: cve-2026-87902-wordpress-lfi-lab (laboratório independente que chegou às mesmas formas de pedido; fonte do controlo de causalidade de alvo inexistente agora aplicado a cada acerto do oráculo)
• WordPress 7.1.2 release announcement
• NVD entry

Vulnerabilidade reportada por Robert Ressl. Este repositório é análise e ferramentas independentes de terceiros.

Licença

MIT - consulte LICENSE.

Limite de segurança

Execute este repositório apenas em sistemas que possui ou está explicitamente autorizado a testar. O driver do laboratório recusa variantes que não sejam vulnerable/patched, os drivers Python recusam alvos que não sejam loopback a menos que --allow-authorized-non-loopback seja fornecido, e a porta do Compose está vinculada a 127.0.0.1.

Consulte SECURITY.md para o tratamento de divulgação. Este repositório não inclui alvos de produção, dados de clientes, tokens de acesso ou evidências de sistemas reais.

Concretamente:

• O Docker publica o WordPress apenas em 127.0.0.1.
• O modo PoC predefinido é um oráculo LFI inofensivo: inclui wp-links-opml.php, um ficheiro do núcleo padrão que imprime um documento OPML.
• --rce é opt-in e escreve uma sonda marcadora sem aspas e auto-eliminável (<?=id,unlink(__FILE__)?>) através da técnica publicamente documentada config-create do pearcmd.php; a sonda remove-se a si própria na sua única execução e o PoC verifica a eliminação. Sem shells, callbacks ou persistência.
• O laboratório re-provisiona a partir de imagens oficiais pristinas em cada start; sem instrumentação do alvo.
• Os pedidos são de anfitrião único, sequenciais e com limitação de taxa. Sem varredura em massa.