CVE‑2026‑87902 – WordPress 未授权 LFI→RCE 工具包

仅限道德用途 – 授权安全测试
本仓库仅为授权安全专业人员、蓝队和渗透测试人员提供工具。
未经授权访问计算机系统在CFAA（美国）、Computer Misuse Act（英国）、TCK 243/244（土耳其）及全球类似法律下均属违法。

📖 漏洞概述

CVE‑2026‑87902 是 WordPress Core（版本 4.7.0 至 7.1.1）中的一个严重未授权路径遍历和本地文件包含（LFI）漏洞，允许未授权攻击者通过 pagename 查询参数包含任意本地 .php 文件，并在特定服务器条件下通过链式利用 PEAR 的 pearcmd.php 文件升级为远程代码执行（RCE）。CVSS 评分：9.2（严重）。由 Robert Ressl 于 2026 年 7 月通过 WordPress 的 HackerOne 项目披露。于 2026 年 9 月 22 日在 7.1.2 中修复，并向后移植至 4.7。

该漏洞影响自 2016 年以来的每一个 WordPress 版本——十年间通过代码审查却未被发现的版本。根本原因是 CMS 中访问最频繁的代码路径之一中缺少一次验证调用。

工作原理

1. 未净化的模板解析 – wp-includes/template.php 中的 get_page_template() 根据 pagename 查询变量构建模板候选。同一函数中相邻的代码路径会应用 validate_file() 来阻止 ../ 序列，但 $pagename 分支没有调用它。pagename 中的任何遍历都会未经检查地通过。

2. 双重编码遍历绕过 – WordPress 对 pagename 应用 sanitize_title_for_query()，将字面点（.）替换为连字符以防止遍历。但该函数操作的是已解码的输入，且不会递归解码。攻击者发送 %252e%252e%252f；Web 服务器将其解码一次为 %2e%2e%2f；净化器看不到字面点并将其放行；随后 get_page_template() 在函数内部再次调用 urldecode()，产生 。

受影响版本

• 4.7.0 – 4.7.37 – 存在漏洞
• 4.8.0 – 4.8.32 – 存在漏洞
• 4.9.0 – 4.9.33 – 存在漏洞
• 5.0.0 – 5.0.29 – 存在漏洞
• 5.1.0 – 5.1.26 – 存在漏洞
• 5.2.0 – 5.2.28 – 存在漏洞
• 5.3.0 – 5.3.25 – 存在漏洞
• 5.4.0 – 5.4.23 – 存在漏洞
• 5.5.0 – 5.5.22 – 存在漏洞
• 5.6.0 – 5.6.21 – 存在漏洞
• 5.7.0 – 5.7.19 – 存在漏洞
• 5.8.0 – 5.8.17 – 存在漏洞
• 5.9.0 – 5.9.18 – 存在漏洞
• 6.0.0 – 6.0.16 – 存在漏洞
• 6.1.0 – 6.1.14 – 存在漏洞
• 6.2.0 – 6.2.13 – 存在漏洞
• 6.3.0 – 6.3.12 – 存在漏洞
• 6.4.0 – 6.4.12 – 存在漏洞
• 6.5.0 – 6.5.12 – 存在漏洞
• 6.6.0 – 6.6.9 – 存在漏洞
• 6.7.0 – 6.7.9 – 存在漏洞
• 6.8.0 – 6.8.10 – 存在漏洞
• 6.9.0 – 6.9.9 – 存在漏洞
• 7.0.0 – 7.0.6 – 存在漏洞
• 7.1.0 – 7.1.1 – 存在漏洞

补丁

• 升级至 4.7.37、4.8.32、4.9.33、5.0.29、5.1.26、5.2.28、5.3.25、5.4.23、5.5.22、5.6.21、5.7.19、5.8.17、5.9.18、6.0.16、6.1.14、6.2.13、6.3.12、6.4.12、6.5.12、6.6.9、6.7.9、6.8.10、6.9.9、7.0.6 或 7.1.2 或更新版本。
• 如果无法升级，请重命名或删除活动主题中的 page-* 目录，在 php.ini 中设置 register_argc_argv=Off，并在 WAF 层面阻止 pagename 参数中的双重编码遍历。

[<->] 工具

[</>] 功能对比

[+] 用例摘要

[+] 安装

git clone https://github.com/tc4dy/CVE-2026-87902-Toolkit
cd CVE-2026-87902-Toolkit
pip install -r requirements.txt

requirements.txt

requests
urllib3

[/] 参数

exploit.py 参数

safecheck.py 参数

[>] 场景

🧪 端点与利用链

该漏洞利用使用以下 WordPress 端点和利用步骤：

载荷格式

# 双重编码遍历示例
pagename = page-templates/..%252f..%252f..%252f..%252fusr/local/lib/php/pearcmd

# PEAR config-create RCE 链
GET /?+config-create+/&page_id=2&pagename={encoded_pearcmd}&/{encoded_php}+/tmp/shell.php

# PEAR 包含触发
GET /?page_id=2&pagename={encoded_output_path}

🛡️ 负责任使用

• 仅在您拥有或获得明确书面测试许可的系统上使用这些工具。
• 未经授权访问是违法且不道德的。
• 作者对任何滥用行为不承担责任。
• 始终遵守您所在国家的法律法规。

本软件仅供教育目的和授权安全测试使用。