CVE-2026-13714

Realtyna Organic IDX plugin + WPL Real Estate < 5.3.0 - Carga arbitraria de archivos sin autenticar que deriva en ejecución remota de código

CVE-2026-13714 — WPL Real Estate RCE sin autenticar

Realtyna Organic IDX plugin + WPL Real Estate para WordPress < 5.3.0

Carga arbitraria de archivos sin autenticar mediante credenciales de API I/O hardcodeadas, lo que permite ejecución remota de código.

Vulnerabilidad

El plugin WPL Real Estate incluye una API I/O integrada (set_property) que está habilitada por defecto y protegida únicamente por un par de claves hardcodeadas (public_key / private_key). Estas claves son idénticas en todas las instalaciones: están incrustadas en el SQL de migración que se ejecuta durante la activación.

La API acepta cargas de archivos a través del campo multipart file[] con el prefijo image_*, pero no realiza ninguna validación del tipo de archivo subido. Un atacante no autenticado puede subir archivos .php arbitrarios, que se almacenan en una ruta predecible bajo wp-content/uploads/WPL/{pid}/, y ejecutarlos directamente a través de HTTP.

Sin autenticación de WordPress, sin nonce, sin comprobación de permisos: solo las dos cadenas hardcodeadas.

Flujo del ataque

Attacker                           Target (WordPress + WPL ≤ 5.2.0)
   │                                          │
   │  POST / (multipart/form-data)            │
   │  ├─ public_key  = <hardcoded>            │
   │  ├─ private_key = <hardcoded>            │
   │  ├─ cmd = set_property                   │
   │  └─ file[] = image_Nx_abc.php            │
   │─────────────────────────────────────────►│
   │                                          │ API validates keys ✓
   │                                          │ Saves file (no type check)
   │               {"success": true}          │
   │◄─────────────────────────────────────────│
   │                                          │
   │  GET /wp-content/uploads/WPL/{pid}/Nx_*  │
   │─────────────────────────────────────────►│
   │               PHP executed               │
   │◄─────────────────────────────────────────│

Características del script

Modos de operación

Archivos de salida

Uso

python CVE-2026-13714.py

El script solicita:

> Target list:    targets.txt
> Threads [1-50]: 10
> Mode [1/2/3]:   2

Formato de la lista de objetivos — un objetivo por línea:

example.com
https://site.com
http://192.168.1.10:8080
sub.domain.org/wordpress

Requisitos

• Python 3.8+
• Sin dependencias externas (solo librería estándar)

Remedición

• Actualice WPL Real Estate a la versión 5.3.0 o posterior
• Si la actualización inmediata no es posible:
  • Rote las claves de la API I/O en la base de datos (tabla wpl_settings)
  • Deshabilite la API I/O por completo si no está en uso
  • Bloquee el acceso directo a wp-content/uploads/WPL/ mediante la configuración del servidor

Aviso legal

Esta herramienta se proporciona estrictamente para pruebas de seguridad autorizadas y fines educativos. Úsela únicamente en sistemas de su propiedad o para los que tenga permiso explícito por escrito.

El acceso no autorizado a sistemas informáticos es ilegal según leyes que incluyen, entre otras, la Computer Fraud and Abuse Act (CFAA) de EE. UU., la UK Computer Misuse Act y legislación equivalente en todo el mundo.

El autor no asume ninguna responsabilidad por el mal uso. Al usar esta herramienta usted acepta toda la responsabilidad por sus acciones y se compromete a cumplir con todas las leyes y regulaciones aplicables.

Autor

Nxploited — Khaled Alenazi

Telegram: @Kxploit

Referencias

• NVD — CVE-2026-13714
• WPScan — WPL Real Estate
• Puntuación base CVSS 3.1: 9.8 CRÍTICO (CISA-ADP)