Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

nvd логотип

CVE-2026-87902

Опубликовано: 22 сент. 2026
Источник: nvd
CVSS3: 8.1
EPSS Критический

Описание

An unauthenticated attacker can make get_page_template() page-template resolution include a chosen readable local .php file outside the active theme directories. If relevant pre-conditions for both the server and the active theme are met, this can lead to RCE.

Ссылки

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
Версия до 4.7.37 (исключая)
cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
Версия от 4.8 (включая) до 4.8.32 (исключая)
cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
Версия от 4.9 (включая) до 4.9.33 (исключая)
cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
Версия от 5.0 (включая) до 5.0.29 (исключая)
cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
Версия от 5.1 (включая) до 5.1.26 (исключая)
cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
Версия от 5.2 (включая) до 5.2.28 (исключая)
cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
Версия от 5.3 (включая) до 5.3.25 (исключая)
cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
Версия от 5.4 (включая) до 5.4.23 (исключая)
cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
Версия от 5.5 (включая) до 5.5.22 (исключая)
cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
Версия от 5.6 (включая) до 5.6.21 (исключая)
cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
Версия от 5.7 (включая) до 5.7.19 (исключая)
cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
Версия от 5.8 (включая) до 5.8.17 (исключая)
cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
Версия от 5.9 (включая) до 5.9.18 (исключая)
cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
Версия от 6.0 (включая) до 6.0.16 (исключая)
cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
Версия от 6.1 (включая) до 6.1.14 (исключая)
cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
Версия от 6.2 (включая) до 6.2.13 (исключая)
cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
Версия от 6.3 (включая) до 6.3.12 (исключая)
cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
Версия от 6.4 (включая) до 6.4.12 (исключая)
cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
Версия от 6.5 (включая) до 6.5.12 (исключая)
cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
Версия от 6.6 (включая) до 6.6.9 (исключая)
cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
Версия от 6.7 (включая) до 6.7.9 (исключая)
cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
Версия от 6.8 (включая) до 6.8.10 (исключая)
cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
Версия от 6.9 (включая) до 6.9.9 (исключая)
cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
Версия от 7.0 (включая) до 7.0.6 (исключая)
cpe:2.3:a:wordpress:wordpress:*:*:*:*:*:*:*:*
Версия от 7.1 (включая) до 7.1.2 (исключая)

EPSS

Процентиль: 100%
0.95769
Критический

8.1 High

CVSS3

Дефекты

CWE-98

Связанные уязвимости

ubuntu логотип

CVE-2026-87902

CVSS3: 8.1
ubuntu
около 2 месяцев назад

An unauthenticated attacker can make `get_page_template()` page-template resolution include a chosen readable local `.php` file outside the active theme directories. If relevant pre-conditions for both the server and the active theme are met, this can lead to RCE.

redhat логотип

CVE-2026-87902

CVSS3: 8.1
redhat
около 2 месяцев назад

An unauthenticated attacker can make `get_page_template()` page-template resolution include a chosen readable local `.php` file outside the active theme directories. If relevant pre-conditions for both the server and the active theme are met, this can lead to RCE.

debian логотип

CVE-2026-87902

CVSS3: 8.1
debian
около 2 месяцев назад

An unauthenticated attacker can make `get_page_template()` page-templa ...

fstec логотип

BDU:2026-15200

CVSS3: 8.1
fstec
около 2 месяцев назад

Уязвимость функции get_page_template() ядра системы управления содержимым сайта WordPress, позволяющая нарушителю выполнить произвольный код

EPSS

Процентиль: 100%
0.95769
Критический

8.1 High

CVSS3

Дефекты

CWE-98