CVE-2026-13714

Realtyna Organic IDX Plugin + WPL Real Estate < 5.3.0 - Nicht authentifizierter beliebiger Datei-Upload bis hin zur Remote-Codeausführung

CVE-2026-13714 — WPL Real Estate Nicht authentifizierte RCE

Realtyna Organic IDX Plugin + WPL Real Estate für WordPress < 5.3.0

Nicht authentifizierter beliebiger Datei-Upload über hartcodierte I/O-API-Zugangsdaten, der zu Remote-Codeausführung führt.

Schwachstelle

Das WPL-Real-Estate-Plugin wird mit einer eingebauten I/O-API (set_property) ausgeliefert, die standardmäßig aktiviert ist und nur durch ein Paar hartcodierter Schlüssel (public_key / private_key) geschützt wird. Diese Schlüssel sind in jeder Installation identisch – sie sind in der Migrations-SQL eingebettet, die bei der Aktivierung ausgeführt wird.

Die API akzeptiert Datei-Uploads über das Multipart-Feld file[] mit dem Präfix image_*, führt jedoch keine Validierung des hochgeladenen Dateityps durch. Ein nicht authentifizierter Angreifer kann beliebige .php-Dateien hochladen, die unter einem vorhersehbaren Pfad in wp-content/uploads/WPL/{pid}/ gespeichert werden, und sie direkt per HTTP ausführen.

Keine WordPress-Authentifizierung, kein Nonce, keine Berechtigungsprüfung – nur die zwei hartcodierten Zeichenketten.

Angriffsablauf

Attacker                           Target (WordPress + WPL ≤ 5.2.0)
   │                                          │
   │  POST / (multipart/form-data)            │
   │  ├─ public_key  = <hardcoded>            │
   │  ├─ private_key = <hardcoded>            │
   │  ├─ cmd = set_property                   │
   │  └─ file[] = image_Nx_abc.php            │
   │─────────────────────────────────────────►│
   │                                          │ API validates keys ✓
   │                                          │ Saves file (no type check)
   │               {"success": true}          │
   │◄─────────────────────────────────────────│
   │                                          │
   │  GET /wp-content/uploads/WPL/{pid}/Nx_*  │
   │─────────────────────────────────────────►│
   │               PHP executed               │
   │◄─────────────────────────────────────────│

Skript-Funktionen

Betriebsmodi

Ausgabedateien

Verwendung

python CVE-2026-13714.py

Das Skript fordert zur Eingabe auf:

> Target list:    targets.txt
> Threads [1-50]: 10
> Mode [1/2/3]:   2

Format der Zielliste — ein Ziel pro Zeile:

example.com
https://site.com
http://192.168.1.10:8080
sub.domain.org/wordpress

Voraussetzungen

• Python 3.8+
• Keine externen Abhängigkeiten (nur Standardbibliothek)

Behebung

• Aktualisieren Sie WPL Real Estate auf Version 5.3.0 oder neuer
• Falls eine sofortige Aktualisierung nicht möglich ist:
  • Rotieren Sie die I/O-API-Schlüssel in der Datenbank (Tabelle wpl_settings)
  • Deaktivieren Sie die I/O-API vollständig, wenn sie nicht verwendet wird
  • Blockieren Sie den direkten Zugriff auf wp-content/uploads/WPL/ über die Serverkonfiguration

Haftungsausschluss

Dieses Tool wird ausschließlich für autorisierte Sicherheitstests und zu Bildungszwecken bereitgestellt. Verwenden Sie es nur auf Systemen, die Ihnen gehören oder für die Sie eine ausdrückliche schriftliche Testgenehmigung besitzen.

Unbefugter Zugriff auf Computersysteme ist gesetzlich verboten, unter anderem gemäß dem Computer Fraud and Abuse Act (CFAA), dem britischen Computer Misuse Act und entsprechenden Gesetzen weltweit.

Der Autor übernimmt keinerlei Haftung für Missbrauch. Durch die Verwendung dieses Tools übernehmen Sie die volle Verantwortung für Ihre Handlungen und erklären sich damit einverstanden, alle geltenden Gesetze und Vorschriften einzuhalten.

Autor

Nxploited — Khaled Alenazi

Telegram: @Kxploit

Referenzen

• NVD — CVE-2026-13714
• WPScan — WPL Real Estate
• CVSS 3.1 Basiswert: 9.8 KRITISCH (CISA-ADP)