CVE-2026-13714

Realtyna Organic IDX プラグイン + WPL Real Estate < 5.3.0 - 未認証の任意ファイルアップロードによるリモートコード実行

CVE-2026-13714 — WPL Real Estate 未認証 RCE

WordPress 用 Realtyna Organic IDX プラグイン + WPL Real Estate < 5.3.0

ハードコードされた I/O API 認証情報を利用した未認証の任意ファイルアップロードにより、リモートコード実行が可能になります。

脆弱性

WPL Real Estate プラグインには、デフォルトで有効な組み込みの I/O API（set_property）が同梱されており、保護されているのはハードコードされた 2 つのキー（public_key / private_key）のみです。これらのキーは全インストール環境で同一であり、アクティベーション時に実行されるマイグレーション SQL に埋め込まれています。

この API は、image_* プレフィックスを持つ file[] マルチパートフィールドを介したファイルアップロードを受け付けますが、アップロードされたファイルタイプの検証は一切行われません。未認証の攻撃者は任意の .php ファイルをアップロードでき、それらは wp-content/uploads/WPL/{pid}/ 配下の予測可能なパスに保存され、HTTP 経由で直接実行されます。

WordPress の認証も、nonce も、権限チェックも不要 — 必要なのはハードコードされた 2 つの文字列だけです。

攻撃フロー

Attacker                           Target (WordPress + WPL ≤ 5.2.0)
   │                                          │
   │  POST / (multipart/form-data)            │
   │  ├─ public_key  = <hardcoded>            │
   │  ├─ private_key = <hardcoded>            │
   │  ├─ cmd = set_property                   │
   │  └─ file[] = image_Nx_abc.php            │
   │─────────────────────────────────────────►│
   │                                          │ API validates keys ✓
   │                                          │ Saves file (no type check)
   │               {"success": true}          │
   │◄─────────────────────────────────────────│
   │                                          │
   │  GET /wp-content/uploads/WPL/{pid}/Nx_*  │
   │─────────────────────────────────────────►│
   │               PHP executed               │
   │◄─────────────────────────────────────────│

スクリプト機能

動作モード

出力ファイル

使用方法

python CVE-2026-13714.py

スクリプトは以下の入力を求めます:

> Target list:    targets.txt
> Threads [1-50]: 10
> Mode [1/2/3]:   2

ターゲットリストの形式 — 1 行に 1 ターゲット:

example.com
https://site.com
http://192.168.1.10:8080
sub.domain.org/wordpress

要件

• Python 3.8+
• 外部依存関係なし（標準ライブラリのみ）

修復策

• WPL Real Estate をバージョン 5.3.0 以降に更新する
• 即時の更新が不可能な場合:
  • データベース（wpl_settings テーブル）内の I/O API キーをローテーションする
  • 使用していない場合は I/O API を完全に無効化する
  • サーバー設定で wp-content/uploads/WPL/ への直接アクセスをブロックする

免責事項

このツールは正規のセキュリティテストおよび教育目的専用に提供されています。所有しているシステム、または明示的な書面によるテスト許可を得たシステムでのみ使用してください。

コンピュータシステムへの不正アクセスは、Computer Fraud and Abuse Act（CFAA）、英国 Computer Misuse Act、および世界各国の同等の法律を含む（ただしこれらに限定されない）法律により違法とされています。

著者は誤用に対して一切の責任を負いません。このツールを使用することにより、お客様はご自身の行動に対する全責任を負い、適用されるすべての法律および規制を遵守することに同意したものとみなされます。

作者

Nxploited — Khaled Alenazi

Telegram: @Kxploit

参考情報

• NVD — CVE-2026-13714
• WPScan — WPL Real Estate
• CVSS 3.1 ベーススコア: 9.8 CRITICAL（CISA-ADP）