WordPress 曝未认证路径穿越 RCE 漏洞，影响 4.7.0 至 7.1.1
evilsocket · x · 2026-09-24
安全研究员 pruvadev 复现了新曝光的 WordPress 核心漏洞 CVE-2026-87902：未认证的路径穿越（page-template 解析），可条件性导致远程代码执行（RCE），评级 Critical（CWE-98）。
要点：
- 影响范围：WordPress 4.7.0 至 7.1.1，已在 7.1.2 修复
- 验证过程：复现由 AI 驱动的验证平台 Pruva 完成，耗时 67 分 36 秒、161 次工具调用、花费 $4.93，端到端打通完整利用链
- 官方复现仓库提供可运行 PoC 脚本（支持 Codespaces 一键运行）与普通文本 agent 视图（REPRO-2026-00356）
作者提醒：这是真实漏洞利用，务必在 VM 或一次性容器中运行。
「编程与Agent」频道最新
- Netflix 招 PhD 实习生，用 LLM Agent 自动化改进推荐系统 — tw_killian · 2026-09-24
- ChatGPT 语音模式接入工具实测：可打断可调 MCP，体验大幅升级 — athyuttamre · 2026-09-24
- Vercel Sandbox 推出 Drives 持久存储：单盘最大 16 TiB — cramforce · 2026-09-24
- rauchg 拆解成功 Agent 三要素:大脑、双手与文件,云端需解耦 — cramforce · 2026-09-24
- 开源工具 hallpass:在工具调用前实时校验 Agent 权限,防越权 — Adorable-Algae6903 · 2026-09-24
- 开发者发布小巧工具：检测外部 agent 是否潜入你的电脑 — BLUECOW009 · 2026-09-24