CVE-2026-13714

Plugin Realtyna Organic IDX + WPL Real Estate < 5.3.0 - Caricamento arbitrario di file non autenticato che consente l'esecuzione di codice remoto

CVE-2026-13714 — RCE non autenticata in WPL Real Estate

Plugin Realtyna Organic IDX + WPL Real Estate per WordPress < 5.3.0

Caricamento arbitrario di file non autenticato tramite credenziali I/O API hardcoded, che porta all'esecuzione di codice remoto.

Vulnerabilità

Il plugin WPL Real Estate include un'API I/O integrata (set_property) che è attiva per impostazione predefinita e protetta solo da una coppia di chiavi hardcoded (public_key / private_key). Queste chiavi sono identiche in tutte le installazioni — sono incorporate nel SQL di migrazione eseguito durante l'attivazione.

L'API accetta il caricamento di file tramite il campo multipart file[] con il prefisso image_*, ma non esegue alcuna validazione sul tipo di file caricato. Un attaccante non autenticato può caricare file .php arbitrari, che vengono salvati in un percorso prevedibile sotto wp-content/uploads/WPL/{pid}/, ed eseguirli direttamente via HTTP.

Nessuna autenticazione WordPress, nessun nonce, nessun controllo dei permessi: solo le due stringhe hardcoded.

Flusso dell'Attacco

Attacker                           Target (WordPress + WPL ≤ 5.2.0)
   │                                          │
   │  POST / (multipart/form-data)            │
   │  ├─ public_key  = <hardcoded>            │
   │  ├─ private_key = <hardcoded>            │
   │  ├─ cmd = set_property                   │
   │  └─ file[] = image_Nx_abc.php            │
   │─────────────────────────────────────────►│
   │                                          │ API validates keys ✓
   │                                          │ Saves file (no type check)
   │               {"success": true}          │
   │◄─────────────────────────────────────────│
   │                                          │
   │  GET /wp-content/uploads/WPL/{pid}/Nx_*  │
   │─────────────────────────────────────────►│
   │               PHP executed               │
   │◄─────────────────────────────────────────│

Caratteristiche dello Script

Modalità Operative

File di Output

Utilizzo

python CVE-2026-13714.py

Lo script richiede:

> Target list:    targets.txt
> Threads [1-50]: 10
> Mode [1/2/3]:   2

Formato della lista dei target — un target per riga:

example.com
https://site.com
http://192.168.1.10:8080
sub.domain.org/wordpress

Requisiti

• Python 3.8+
• Nessuna dipendenza esterna (solo stdlib)

Mitigazione

• Aggiornare WPL Real Estate alla versione 5.3.0 o successiva
• Se non è possibile aggiornare immediatamente:
  • Ruotare le chiavi dell'API I/O nel database (tabella wpl_settings)
  • Disabilitare completamente l'API I/O se non in uso
  • Bloccare l'accesso diretto a wp-content/uploads/WPL/ tramite la configurazione del server

Disclaimer

Questo strumento è fornito esclusivamente per test di sicurezza autorizzati e scopi didattici. Utilizzalo solo su sistemi di tua proprietà o per i quali disponi di un'esplicita autorizzazione scritta al test.

L'accesso non autorizzato a sistemi informatici è illegale ai sensi di leggi che includono, ma non si limitano a, il Computer Fraud and Abuse Act (CFAA), il Computer Misuse Act del Regno Unito e la legislazione equivalente a livello mondiale.

L'autore non si assume alcuna responsabilità per un uso improprio. Utilizzando questo strumento accetti la piena responsabilità delle tue azioni e accetti di rispettare tutte le leggi e i regolamenti applicabili.

Autore

Nxploited — Khaled Alenazi

Telegram: @Kxploit

Riferimenti

• NVD — CVE-2026-13714
• WPScan — WPL Real Estate
• Punteggio Base CVSS 3.1: 9.8 CRITICO (CISA-ADP)