https://cyberveille.ch/tags/nuclei-template-cve-2026-87902/ Recent content in Nuclei Template (CVE-2026-87902) on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Mon, 28 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-28-cve-2026-87902-30-000-ip-ciblent-wordpress-en-5-jours-via-une-faille-lfi-critique/ Mon, 28 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-28-cve-2026-87902-30-000-ip-ciblent-wordpress-en-5-jours-via-une-faille-lfi-critique/ <h2 id="-contexte">🔍 Contexte</h2> <p>Source : CrowdSec VulnTracking, publié le 28 septembre 2026. CrowdSec rapporte l&rsquo;exploitation massive et rapide de <strong>CVE-2026-87902</strong>, une vulnérabilité critique de type <strong>Local File Inclusion (LFI)</strong> dans le cœur de WordPress, pouvant mener à une <strong>exécution de code à distance (RCE)</strong> dans certaines conditions.</p> <h2 id="-détails-de-la-vulnérabilité">🛡️ Détails de la vulnérabilité</h2> <ul> <li><strong>Produit affecté</strong> : WordPress core versions <strong>4.7.0 à 7.1.1</strong></li> <li><strong>Versions corrigées</strong> : 7.1.2, 7.0.6, 6.9.9, 6.8.10, et rétroports jusqu&rsquo;à 4.7.37 (22 septembre 2026)</li> <li><strong>Classe</strong> : Path traversal / PHP file inclusion (<strong>CWE-22, CWE-98</strong>)</li> <li><strong>CVSS 4.0</strong> : 9.2 Critical (WordPress) ; <strong>CVSS 3.1</strong> : 8.1 High (CISA)</li> <li><strong>Authentification requise</strong> : Aucune</li> <li><strong>Advisory</strong> : GHSA-7hp8-65ch-5whp</li> <li><strong>CISA KEV</strong> : Ajouté le 25 septembre 2026, deadline fédérale le 28 septembre 2026</li> <li><strong>Signalée par</strong> : Robert Ressl via HackerOne le 20 juillet 2026 ; route PEAR documentée par Equixly</li> </ul> <h2 id="-mécanisme-dexploitation">⚙️ Mécanisme d&rsquo;exploitation</h2> <p>La fonction <code>get_page_template()</code> construit un nom de fichier à partir du paramètre <code>pagename</code>. Des séquences <code>../</code> doublement encodées en URL contournent la première sanitisation, puis un <code>urldecode()</code> ultérieur les restaure, permettant une <strong>inclusion de fichier arbitraire</strong> via <code>include</code>. La vérification <code>validate_file()</code> utilisée ailleurs est absente sur ce chemin de code.</p>