根本原因

wp-includes/template.php 中的 get_page_template() 在清理已经执行之后，对 pagename 查询参数调用 urldecode()。双重编码的 ../ 序列（%252E%252E%252F）经过 PHP 第一次解码后变为 %2E%2E%2F，通过 sanitize_title_with_dashes()（该函数保留 %xx 序列）后仍然存在，随后被 WordPress 后期的 urldecode() 调用解码为 ../ —— 从而逃逸出主题目录。

需要 POST 方法是因为 redirect_canonical() 对非 GET/HEAD 请求会提前返回，从而阻止路径在到达易受攻击代码之前被规范化。

利用流程

影响

• 本地文件包含 — 主题目录之外的任意 .php 文件被包含并执行
• 远程代码执行 — 通过 PEAR pearcmd.php 利用链（需要安装 PEAR + register_argc_argv=On）

PEAR RCE 利用链

两个匿名 POST 请求即可实现 RCE：

阶段 1 — 通过路径遍历包含 pearcmd.php。查询字符串 /?+config-create+/<php-payload>+<output>.php 成为 PEAR 的 argv。config-create 命令将攻击者控制的数据（包括 PHP 标签）写入可写目录。

阶段 2 — 包含 PEAR 写入的文件。嵌入的 PHP 以 Web 服务器权限执行。

PHP 载荷使用 chr() 编码（<?=shell_exec(chr(105).chr(100))?>）以避免 wp_magic_quotes() 会转义的引号字符。

工具

cve-2026-87902.py — 自动化检查器 + LFI 扫描器 + PEAR RCE 利用工具。使用 http.client 实现字节精确的请求控制（无库重新编码）。

要求

Python 3.6+（仅标准库 — 无 pip 依赖）

用法

功能说明

1. 主题检测 — 从 HTML 中提取活动主题，探测 page-* 目录
2. 页面发现 — 查询 REST API 获取使用默认模板的已发布页面
3. 遍历测试 — 使用双重编码的 POST 载荷扫描多个深度（1-12）
4. WAF 绕过 — --multipart 将载荷包装为 multipart/form-data 以规避 WAF 模式匹配
5. LFI 扫描 — 包含已知 WordPress 文件并比较响应大小与基线
6. RCE — 两阶段 PEAR 链，使用 chr() 编码的载荷

输出标记

前提条件

• 活动主题必须包含 page-* 目录（例如 page-templates/）
• 至少有一个使用默认模板的已发布页面
• WordPress 版本在受影响范围内（未修补）
• 对于 RCE：PEAR pearcmd.php 可读 + register_argc_argv=On + /tmp 可写

修复

更新至 WordPress 7.1.2 或您所在分支的最新安全版本（已向后移植至 4.7）。

参考资料

• Robert Ressl — CVE-2026-87902 分析文章
• WordPress 安全公告 — GHSA-7hp8-65ch-5whp
• Hadrian 漏洞警报

免责声明

本工具仅供授权安全测试和漏洞赏金研究使用。仅对您拥有明确测试许可的系统使用。未经授权访问计算机系统是违法的。