Er is een kritieke beveiligingslek (CVE-2026-87902) ontdekt in WordPress met een CVSS-score van 9.2. De kwetsbaarheid bevindt zich in de getpagetemplate() resolutie, waardoor niet-geauthentiseerde aanvallers lokale .php-bestanden buiten de actieve themamappen kunnen insluiten.
Voorwaarden voor Remote Code Execution (RCE):
- Thema-structuur: Het actieve thema moet een hoofdmap hebben die begint met
page- (bijv. in thema's als Twenty Twelve, Neve of Hestia).
- Bestandstoegang: Er moet een leesbaar
.php-doelbestand op de server aanwezig zijn, zoals pearcmd.php in bepaalde Docker-images of cPanel-configuraties.
Beïnvloede versies en oplossing: De kwetsbaarheid beïnvloedt een breed scala aan versies, van 4.7 tot en met 7.1.1. WordPress heeft een fix uitgebracht in versie 7.1.2, waarbij de oplossing ook is teruggepoort naar alle branches tot en met versie 4.7.
Niet-geauthentiseerde path traversal bij page-template resolutie leidend tot conditionele RCE
Beschrijving
Een niet-geauthentiseerde aanvaller kan ervoor zorgen dat de getpagetemplate() page-template resolutie een gekozen leesbaar lokaal .php-bestand buiten de actieve themamappen insluit. Indien aan specifieke voorwaarden wordt voldaan voor zowel de serveromgeving als het actieve thema, kan dit leiden tot Remote Code Execution (RCE).
Voorwaarden voor RCE
Om tot RCE te komen, moet aan de volgende voorwaarden worden voldaan:
- Thema-structuur: Het actieve child- of parent-thema bevat een hoofdmap waarvan de naam begint met
page- (bijvoorbeeld page-templates). Dit heeft invloed op de legacy-thema's Twenty Twelve en Twenty Fourteen, evenals sommige populaire thema's van derden zoals Neve, Hestia en Sydney.
- Bestandstoegang: Er moet een gekozen lokaal
.php-doelbestand op de server aanwezig zijn dat leesbaar is voor het webserver-account. De bekende pearcmd.php PEAR → RCE-transitie kan hiervoor worden gebruikt wanneer registerargcargv is ingesteld op On. De officiële PHP-image voor Docker is hiervan getroffen, evenals de standaard cPanel-configuratie wanneer PHP ouder is dan versie 8.5.
Versies
Beïnvloede versies
- 7.1.0 - 7.1.1
- 7.0.0 - 7.0.5
- 6.9.0 - 6.9.8
- 6.8.0 - 6.8.9
- 6.7.0 - 6.7.8
- 6.6.0 - 6.6.8
- 6.5.0 - 6.5.11
- 6.4.0 - 6.4.11
- 6.3.0 - 6.3.11
- 6.2.0 - 6.2.12
- 6.1.0 - 6.1.13
- 6.0.0 - 6.0.15
- 5.9.0 - 5.9.17
- 5.8.0 - 5.8.16
- 5.7.0 - 5.7.18
- 5.6.0 - 5.6.20
- 5.5.0 - 5.5.21
- 5.4.0 - 5.4.22
- 5.3.0 - 5.3.24
- 5.2.0 - 5.2.27
- 5.1.0 - 5.1.25
- 5.0.0 - 5.0.28
- 4.9.0 - 4.9.32
- 4.8.0 - 4.8.31
- 4.7.0 - 4.7.36
Gepatchte versies
- 7.1.2
- 7.0.6
- 6.9.9
- 6.8.10
- 6.7.9
- 6.6.9
- 6.5.12
- 6.4.12
- 6.3.12
- 6.2.13
- 6.1.14
- 6.0.16
- 5.9.18
- 5.8.17
- 5.7.19
- 5.6.21
- 5.5.22
- 5.4.23
- 5.3.25
- 5.2.28
- 5.1.26
- 5.0.29
- 4.9.33
- 4.8.32
- 4.7.37
Oplossing
WordPress 7.1.2 is uitgebracht met een fix voor deze kwetsbaarheid. Als service aan gebruikers op oudere branches is de fix teruggepoort naar alle branches tot en met versie 4.7.
Technische details en CVSS-score
CVSS v4 Score: 9.2 (Kritiek) Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Exploitability Metrics
- Attack Vector (Netwerk): Weerspiegelt de context waarin exploitatie mogelijk is. Een netwerkvector betekent dat de aanval op afstand kan worden uitgevoerd.
- Attack Complexity (Laag): Meet de acties die een aanvaller moet ondernemen om bestaande beveiligingsvoorwaarden te omzeilen.
- Attack Requirements (Aanwezig): Meet de vereiste inrichtings- en uitvoeringscondities van het kwetsbare systeem die de aanval mogelijk maken.
- Privileges Required (Geen): De aanvaller heeft geen voorafgaande privileges nodig.
- User Interaction (Geen): Er is geen interactie van een andere gebruiker nodig.
Vulnerable System Impact Metrics
- Confidentiality (Hoog): Impact op de vertrouwelijkheid van de informatie in het kwetsbare systeem.
- Integrity (Hoog): Impact op de betrouwbaarheid en juistheid van informatie; ongeautoriseerde wijziging van systeemdata.
- Availability (Hoog): Impact op de beschikbaarheid van het systeem zelf, zoals netwerkdiensten.
Subsequent System Impact Metrics
- Confidentiality (Geen)
- Integrity (Geen)
- Availability (Geen)
Kwetsbaarheidsklasse
CWE-98: Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion')
De PHP-applicatie ontvangt input van een upstream-component, maar beperkt deze input niet of onjuist voordat deze wordt gebruikt in require, include of vergelijkbare functies.
Niet-geauthentiseerde path traversal bij page-template resolutie leidend tot conditionele RCE
Beschrijving
Een niet-geauthentiseerde aanvaller kan ervoor zorgen dat de getpagetemplate() page-template resolutie een gekozen leesbaar lokaal .php-bestand buiten de actieve themamappen insluit. Indien aan specifieke voorwaarden wordt voldaan voor zowel de serveromgeving als het actieve thema, kan dit leiden tot Remote Code Execution (RCE).
Voorwaarden voor RCE
Om tot RCE te komen, moet aan de volgende voorwaarden worden voldaan:
- Thema-structuur: Het actieve child- of parent-thema bevat een hoofdmap waarvan de naam begint met
page- (bijvoorbeeld page-templates). Dit heeft invloed op de legacy-thema's Twenty Twelve en Twenty Fourteen, evenals sommige populaire thema's van derden zoals Neve, Hestia en Sydney.
- Bestandstoegang: Er moet een gekozen lokaal
.php-doelbestand op de server aanwezig zijn dat leesbaar is voor het webserver-account. De bekende pearcmd.php PEAR → RCE-transitie kan hiervoor worden gebruikt wanneer registerargcargv is ingesteld op On. De officiële PHP-image voor Docker is hiervan getroffen, evenals de standaard cPanel-configuratie wanneer PHP ouder is dan versie 8.5.
Versies
Beïnvloede versies
- 7.1.0 - 7.1.1
- 7.0.0 - 7.0.5
- 6.9.0 - 6.9.8
- 6.8.0 - 6.8.9
- 6.7.0 - 6.7.8
- 6.6.0 - 6.6.8
- 6.5.0 - 6.5.11
- 6.4.0 - 6.4.11
- 6.3.0 - 6.3.11
- 6.2.0 - 6.2.12
- 6.1.0 - 6.1.13
- 6.0.0 - 6.0.15
- 5.9.0 - 5.9.17
- 5.8.0 - 5.8.16
- 5.7.0 - 5.7.18
- 5.6.0 - 5.6.20
- 5.5.0 - 5.5.21
- 5.4.0 - 5.4.22
- 5.3.0 - 5.3.24
- 5.2.0 - 5.2.27
- 5.1.0 - 5.1.25
- 5.0.0 - 5.0.28
- 4.9.0 - 4.9.32
- 4.8.0 - 4.8.31
- 4.7.0 - 4.7.36
Gepatchte versies
- 7.1.2
- 7.0.6
- 6.9.9
- 6.8.10
- 6.7.9
- 6.6.9
- 6.5.12
- 6.4.12
- 6.3.12
- 6.2.13
- 6.1.14
- 6.0.16
- 5.9.18
- 5.8.17
- 5.7.19
- 5.6.21
- 5.5.22
- 5.4.23
- 5.3.25
- 5.2.28
- 5.1.26
- 5.0.29
- 4.9.33
- 4.8.32
- 4.7.37
Oplossing
WordPress 7.1.2 is uitgebracht met een fix voor deze kwetsbaarheid. Als service aan gebruikers op oudere branches is de fix teruggepoort naar alle branches tot en met versie 4.7.
Technische details en CVSS-score
CVSS v4 Score: 9.2 (Kritiek) Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Exploitability Metrics
- Attack Vector (Netwerk): Weerspiegelt de context waarin exploitatie mogelijk is. Een netwerkvector betekent dat de aanval op afstand kan worden uitgevoerd.
- Attack Complexity (Laag): Meet de acties die een aanvaller moet ondernemen om bestaande beveiligingsvoorwaarden te omzeilen.
- Attack Requirements (Aanwezig): Meet de vereiste inrichtings- en uitvoeringscondities van het kwetsbare systeem die de aanval mogelijk maken.
- Privileges Required (Geen): De aanvaller heeft geen voorafgaande privileges nodig.
- User Interaction (Geen): Er is geen interactie van een andere gebruiker nodig.
Vulnerable System Impact Metrics
- Confidentiality (Hoog): Impact op de vertrouwelijkheid van de informatie in het kwetsbare systeem.
- Integrity (Hoog): Impact op de betrouwbaarheid en juistheid van informatie; ongeautoriseerde wijziging van systeemdata.
- Availability (Hoog): Impact op de beschikbaarheid van het systeem zelf, zoals netwerkdiensten.
Subsequent System Impact Metrics
- Confidentiality (Geen)
- Integrity (Geen)
- Availability (Geen)
Kwetsbaarheidsklasse
CWE-98: Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion')
De PHP-applicatie ontvangt input van een upstream-component, maar beperkt deze input niet of onjuist voordat deze wordt gebruikt in require, include of vergelijkbare functies.
Groetjes,