Resumo

O WordPress resolve um template de Página através de uma cadeia que nunca prova que o ficheiro selecionado permanece dentro de uma raiz de tema:

1. pagename e page_id são variáveis de consulta públicas que WP::parse_request() aceita de um corpo POST anónimo.
2. Um traversal com dupla codificação em pagename sobrevive à sanitização inicial da consulta como octetos %xx escapados (wp_basename() não consegue ver %2f como separador, e sanitize_title_with_dashes() mantém deliberadamente octetos válidos).
3. Um page_id válido seleciona então uma Página publicada real, enquanto o pagename malicioso permanece no objeto de consulta.
4. get_page_template() chama posteriormente urldecode() sobre esse valor e adiciona um candidato como page-templates/../../../../../../../usr/local/lib/php/pearcmd.php à hierarquia de templates.
5. locate_template() e o carregador final de templates apenas verificam a existência, a legibilidade e o sufixo .php/.html — nunca que o caminho canónico ainda esteja dentro de uma raiz de tema permitida — e depois fazem include do mesmo.

Isto é uma primitiva de inclusão local de ficheiro remota não autenticada no WordPress Core. No runtime oficial testado (wordpress:php8.3-apache, que inclui o PEAR e não carrega nenhum php.ini, pelo que register_argc_argv está On), a inclusão foi encadeada através do pearcmd.php do PEAR: um primeiro pedido anónimo faz com que config-create escreva PHP controlado pelo atacante em /tmp, um segundo pedido anónimo inclui esse ficheiro e executa-o como www-data.

A ausência de contenção de caminho no Core é a vulnerabilidade. O PEAR é apenas uma rota dependente do ambiente da inclusão para a execução de código — não é uma dependência do WordPress e não está presente ou utilizável em todas as implementações.

Causa raiz

Localizações de código verificadas (WordPress 7.0.2):

Pré-condições

A primitiva de inclusão autónoma necessita de:

A fase PEAR demonstrada necessita adicionalmente de um pearcmd.php legível (mais as suas dependências), register_argc_argv=On para o SAPI web, e um diretório de saída gravável. Os ficheiros php.ini de produção definem register_argc_argv=Off; a imagem testada não carrega nenhum php.ini, pelo que se aplicou o valor predefinido compilado (On). Este é um limite importante na prevalência da cadeia de execução de código demonstrada.

Os temas incluídos Twenty Twenty-Three/Four/Five não incluem nenhum diretório page-* de nível superior, pelo que o laboratório padrão necessita da fixture descrita abaixo. Os temas personalizados podem legitimamente usar uma estrutura page-templates/ (documentação do WordPress).

O aviso regista onde estas condições ocorrem em software distribuído: a condição do tema é satisfeita pelos temas legados Twenty Twelve e Twenty Fourteen e por temas de terceiros como Neve, Hestia e Sydney, enquanto a transição PEAR se aplica à imagem oficial PHP Docker e a configurações predefinidas do cPanel a executar PHP anterior ao 8.5. (Twenty Twelve e Twenty Fourteen incluem ambos um diretório page-templates/ de nível superior; as restantes afirmações são do aviso.) Este repositório não mede a frequência com que a cadeia completa se aplica.

Início rápido

cve-2026-87902.py necessita de Python 3.6+ (apenas biblioteca padrão) e alcança o laboratório em http://127.0.0.1:8091 por predefinição. Saída esperada:

O código de saída é 0 em caso de sucesso e 1 caso contrário, pelo que o PoC também funciona como verificação de regressão/deteção.

Desmontagem: docker compose down -v.

Resultados verificados

Executado em 2026-09-22 contra este laboratório (Docker 29.4, OrbStack, Apple silicon):

O artefacto de prova é /flag, propriedade de root e legível por todos (root:root, modo 0444) dentro do contentor. Prova a execução de PHP e o acesso a ficheiros como a conta do servidor web; não é um alvo de escalada de privilégios.

Como funciona a cadeia

Dois POSTs anónimos. Os valores de encaminhamento do WordPress viajam no corpo do formulário, os argumentos do PEAR na query string em bruto (o PHP divide a query string em bruto no + literal em argv e não descodifica individualmente os argumentos):

Fase 1 — incluir pearcmd.php e escrever o payload:

Fase 2 — incluir o ficheiro gerado e executar o seu PHP:

Detalhes que importam:

• Duas camadas de codificação. O corpo é descodificado uma vez pelo PHP para templates%2f%2e%2e%2f...; o sanitizador mantém esses octetos, e apenas o urldecode() tardio de get_page_template() os transforma em / e ...
• Prefixo page-. O WordPress pré-fixa page- ao valor, pelo que o diretório fixture page-templates/ corresponde ao segmento inicial templates.
• Sufixo .php forçado. O candidato é page-<decoded>.php, razão pela qual o alvo é indicado sem sufixo (.../pearcmd, /tmp/wp-pear-rce-flag).
• POST, não GET. redirect_canonical() ignora pedidos não-GET/HEAD, e o corpo do formulário permite que a query string transporte apenas os argumentos do PEAR.
• Payload sem aspas. wp_magic_quotes() também é executado sobre $_SERVER, pelo que o argv construído pelo servidor é escapado e o PEAR normaliza posteriormente as barras invertidas. O payload verificado usa chr() e não contém caracteres de aspas. (Reduz-se a <?=file_get_contents('/flag')?>.)
• Caminho raiz de config-create. O PEAR rejeita uma raiz relativa (Root directory must be an absolute path beginning with "/"), pelo que o payload é injetado como o próprio caminho raiz.
• Profundidade. cve-2026-87902.py percorre segmentos .. até o traversal alcançar o alvo (7 para a estrutura deste laboratório, --depth para o fixar).

Laboratório

lab/up.sh executa três passos e é seguro reexecutar:

1. docker compose up -d --build --wait — wordpress:7.0.2-php8.3-apache fixado mais mysql:8.4, porta 127.0.0.1:8091 (apenas loopback).
2. Executa o instalador do WordPress (admin / adminadmin) se o site ainda não estiver instalado.
3. Cria a fixture dentro do tema ativo e imprime-a: wp-content/themes/twentytwentyfive/page-templates/, root:root, modo 0755, vazio.

A imagem do laboratório adiciona register_argc_argv=On explicitamente (lab/Dockerfile) em vez de depender do valor predefinido compilado, e inclui /flag (root:root, modo 0444, conteúdo CVE-2026-87902-POC-OK).

A tag móvel wordpress:php8.3-apache não é utilizável para este laboratório: o bug está corrigido na 7.1.2 e uma tag não fixada transforma silenciosamente o laboratório em corrigido.

Controlos negativos e limitações

Controlos verificados ou documentados:

• Nenhum diretório page-* de nível superior no tema → o prefixo fixo não pode ser removido e o traversal nunca começa (verificado: fixture removida → sem marcador).
• register_argc_argv=Off → sem escritor PEAR, mas a primitiva de inclusão permanece.
• PEAR ou as suas dependências ausentes → sem escritor.
• Número errado de segmentos .. → alvo não alcançado (verificado: profundidades 1-6 e 8-12 não produzem marcador no laboratório).
• Um template de página personalizado atribuído à Página → ordenado antes do candidato malicioso e vence.
• Um ficheiro sem sufixo (por exemplo /flag) não pode ser lido diretamente — o candidato recebe .php anexado.
• Um WAF/CDN/proxy reverso que rejeite bytes <, >, = em bruto no alvo do pedido quebra o canal de argumentos do PEAR (específico da implementação).
• Confinamento open_basedir/MAC ou um diretório de saída não gravável quebra a cadeia; noexec em /tmp não (o PHP lê e interpreta o ficheiro).

Este PoC reproduz uma configuração verificada. Não afirma que todas as instalações do WordPress sejam exploráveis, e não mede a prevalência.

Remediação

• Atualizar para o WordPress 7.1.2 ou mais recente (ou para o backport do seu ramo).
• Defesa em profundidade para o tratamento de templates: após a descodificação, rejeitar candidatos com traversal e absolutos (por exemplo validate_file()), e antes de incluir um template localizado, comparar realpath() do candidato e da raiz do tema com um separador de diretório à direita.
• Mitigações do operador: definir register_argc_argv=Off para SAPIs web, remover pontos de entrada PEAR não utilizados e legíveis pela web das imagens de produção, auditar temas filhos e pais quanto a diretórios page-* de nível superior, e restringir o acesso de escrita para a conta PHP.

Ficheiros

Cronologia de divulgação

O relatório foi aceite como uma descoberta de segurança válida após a sua classificação inicial ter sido revista; a correspondência não data essa aceitação.

Aviso legal

Este repositório é publicado para fins defensivos e de investigação. Utilize-o apenas contra sistemas que possui ou para os quais tem autorização explícita de teste. O laboratório está vinculado a 127.0.0.1 e não deve ser exposto a redes não confiáveis.

Licença

MIT — ver LICENSE. Os metadados de citação encontram-se em CITATION.cff:

Ressl, Robert (2026). CVE-2026-87902 PoC: unauthenticated path traversal in WordPress page-template resolution (v1.0.0). https://ressl.ch

O relatório de vulnerabilidade e este PoC foram preparados com assistência de IA para revisão de organização e consistência; o investigador é responsável pelas afirmações técnicas.