CVE-2026-13714

Realtyna Organic IDX प्लगइन + WPL Real Estate < 5.3.0 - बिना प्रमाणीकरण के मनमाना फ़ाइल अपलोड से रिमोट कोड एक्ज़ीक्यूशन

CVE-2026-13714 — WPL Real Estate बिना प्रमाणीकरण RCE

WordPress के लिए Realtyna Organic IDX प्लगइन + WPL Real Estate < 5.3.0

हार्डकोडेड I/O API क्रेडेंशियल्स के माध्यम से बिना प्रमाणीकरण के मनमाना फ़ाइल अपलोड, जिससे रिमोट कोड एक्ज़ीक्यूशन होता है।

भेद्यता

WPL Real Estate प्लगइन एक अंतर्निहित I/O API (set_property) के साथ आता है जो डिफ़ॉल्ट रूप से सक्षम है और केवल हार्डकोडेड कुंजियों (public_key / private_key) की एक जोड़ी द्वारा सुरक्षित है। ये कुंजियाँ हर इंस्टॉलेशन में समान होती हैं — वे एक्टिवेशन पर चलने वाले माइग्रेशन SQL में एम्बेडेड होती हैं।

API image_* उपसर्ग के साथ file[] मल्टीपार्ट फ़ील्ड के माध्यम से फ़ाइल अपलोड स्वीकार करती है, फिर भी अपलोड की गई फ़ाइल के प्रकार पर कोई सत्यापन नहीं करती। एक बिना प्रमाणीकरण वाला हमलावर मनमानी .php फ़ाइलें अपलोड कर सकता है, जो wp-content/uploads/WPL/{pid}/ के अंतर्गत पूर्वानुमेय पथ पर संग्रहीत होती हैं, और उन्हें सीधे HTTP के माध्यम से निष्पादित कर सकता है।

कोई WordPress प्रमाणीकरण नहीं, कोई nonce नहीं, कोई क्षमता जाँच नहीं — केवल दो हार्डकोडेड स्ट्रिंग्स।

आक्रमण प्रवाह

Attacker                           Target (WordPress + WPL ≤ 5.2.0)
   │                                          │
   │  POST / (multipart/form-data)            │
   │  ├─ public_key  = <hardcoded>            │
   │  ├─ private_key = <hardcoded>            │
   │  ├─ cmd = set_property                   │
   │  └─ file[] = image_Nx_abc.php            │
   │─────────────────────────────────────────►│
   │                                          │ API validates keys ✓
   │                                          │ Saves file (no type check)
   │               {"success": true}          │
   │◄─────────────────────────────────────────│
   │                                          │
   │  GET /wp-content/uploads/WPL/{pid}/Nx_*  │
   │─────────────────────────────────────────►│
   │               PHP executed               │
   │◄─────────────────────────────────────────│

स्क्रिप्ट की विशेषताएँ

ऑपरेटिंग मोड

आउटपुट फ़ाइलें

उपयोग

python CVE-2026-13714.py

स्क्रिप्ट निम्नलिखित इनपुट माँगती है:

> Target list:    targets.txt
> Threads [1-50]: 10
> Mode [1/2/3]:   2

टारगेट सूची प्रारूप — प्रति पंक्ति एक टारगेट:

example.com
https://site.com
http://192.168.1.10:8080
sub.domain.org/wordpress

आवश्यकताएँ

• Python 3.8+
• कोई बाहरी निर्भरता नहीं (केवल stdlib)

निवारण

• WPL Real Estate को संस्करण 5.3.0 या उसके बाद के संस्करण में अपडेट करें
• यदि तुरंत अपडेट संभव न हो, तो:
  • डेटाबेस (wpl_settings टेबल) में I/O API कुंजियाँ बदलें
  • उपयोग में न होने पर I/O API को पूरी तरह अक्षम करें
  • सर्वर कॉन्फ़िगरेशन के माध्यम से wp-content/uploads/WPL/ तक सीधी पहुँच ब्लॉक करें

अस्वीकरण

यह टूल केवल अधिकृत सुरक्षा परीक्षण और शैक्षिक उद्देश्यों के लिए प्रदान किया गया है। इसका उपयोग केवल उन सिस्टमों पर करें जिनके स्वामी आप हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट लिखित अनुमति है।

कंप्यूटर सिस्टमों तक अनधिकृत पहुँच Computer Fraud and Abuse Act (CFAA), UK Computer Misuse Act, और विश्व भर के समकक्ष कानूनों सहित विभिन्न कानूनों के अंतर्गत अवैध है।

लेखक दुरुपयोग के लिए कोई ज़िम्मेदारी नहीं लेता। इस टूल का उपयोग करके आप अपने कार्यों की पूरी ज़िम्मेदारी स्वीकार करते हैं और सभी लागू कानूनों और विनियमों का पालन करने के लिए सहमत होते हैं।

लेखक

Nxploited — Khaled Alenazi

Telegram: @Kxploit

संदर्भ

• NVD — CVE-2026-13714
• WPScan — WPL Real Estate
• CVSS 3.1 आधार स्कोर: 9.8 CRITICAL (CISA-ADP)