CVE-2026-13714

Plugin Realtyna Organic IDX + WPL Real Estate < 5.3.0 - Téléversement arbitraire de fichier non authentifié menant à une exécution de code à distance

CVE-2026-13714 — RCE non authentifiée sur WPL Real Estate

Plugin Realtyna Organic IDX + WPL Real Estate pour WordPress < 5.3.0

Téléversement arbitraire de fichier non authentifié via des identifiants API I/O codés en dur, conduisant à une exécution de code à distance.

Vulnérabilité

Le plugin WPL Real Estate est livré avec une API I/O intégrée (set_property) qui est activée par défaut et protégée uniquement par une paire de clés codées en dur (public_key / private_key). Ces clés sont identiques sur toutes les installations — elles sont intégrées dans le SQL de migration exécuté lors de l'activation.

L'API accepte les téléversements de fichiers via le champ multipart file[] avec le préfixe image_*, mais n'effectue aucune validation sur le type de fichier téléversé. Un attaquant non authentifié peut téléverser des fichiers .php arbitraires, stockés dans un chemin prévisible sous wp-content/uploads/WPL/{pid}/, et les exécuter directement via HTTP.

Aucune authentification WordPress, aucun nonce, aucune vérification de capacité — uniquement les deux chaînes codées en dur.

Flux d'attaque

Attacker                           Target (WordPress + WPL ≤ 5.2.0)
   │                                          │
   │  POST / (multipart/form-data)            │
   │  ├─ public_key  = <hardcoded>            │
   │  ├─ private_key = <hardcoded>            │
   │  ├─ cmd = set_property                   │
   │  └─ file[] = image_Nx_abc.php            │
   │─────────────────────────────────────────►│
   │                                          │ API validates keys ✓
   │                                          │ Saves file (no type check)
   │               {"success": true}          │
   │◄─────────────────────────────────────────│
   │                                          │
   │  GET /wp-content/uploads/WPL/{pid}/Nx_*  │
   │─────────────────────────────────────────►│
   │               PHP executed               │
   │◄─────────────────────────────────────────│

Fonctionnalités du script

Modes d'utilisation

Fichiers de sortie

Utilisation

python CVE-2026-13714.py

Le script demande :

> Target list:    targets.txt
> Threads [1-50]: 10
> Mode [1/2/3]:   2

Format de la liste de cibles — une cible par ligne :

example.com
https://site.com
http://192.168.1.10:8080
sub.domain.org/wordpress

Prérequis

• Python 3.8+
• Aucune dépendance externe (bibliothèque standard uniquement)

Correctif

• Mettre à jour WPL Real Estate vers la version 5.3.0 ou une version ultérieure
• Si la mise à jour immédiate n'est pas possible :
  • Remplacer les clés API I/O dans la base de données (table wpl_settings)
  • Désactiver complètement l'API I/O si elle n'est pas utilisée
  • Bloquer l'accès direct à wp-content/uploads/WPL/ via la configuration du serveur

Avertissement

Cet outil est fourni strictement pour des tests de sécurité autorisés et à des fins pédagogiques. Utilisez-le uniquement sur des systèmes qui vous appartiennent ou pour lesquels vous disposez d'une autorisation écrite explicite.

L'accès non autorisé à des systèmes informatiques est illégal en vertu de lois telles que, sans s'y limiter, le Computer Fraud and Abuse Act (CFAA), le UK Computer Misuse Act et la législation équivalente dans le monde entier.

L'auteur décline toute responsabilité en cas d'utilisation abusive. En utilisant cet outil, vous acceptez l'entière responsabilité de vos actions et vous vous engagez à respecter toutes les lois et réglementations applicables.

Auteur

Nxploited — Khaled Alenazi

Telegram : @Kxploit

Références

• NVD — CVE-2026-13714
• WPScan — WPL Real Estate
• Score de base CVSS 3.1 : 9.8 CRITICAL (CISA-ADP)