CVE-2026-13714

Realtyna Organic IDX 플러그인 + WPL Real Estate < 5.3.0 - 인증 없는 임의 파일 업로드를 통한 원격 코드 실행

CVE-2026-13714 — WPL Real Estate 인증 없는 RCE

WordPress용 Realtyna Organic IDX 플러그인 + WPL Real Estate < 5.3.0

하드코딩된 I/O API 자격 증명을 통한 인증 없는 임의 파일 업로드로, 원격 코드 실행으로 이어집니다.

취약점

WPL Real Estate 플러그인에는 기본적으로 활성화되어 있고 하드코딩된 키 쌍(public_key / private_key)으로만 보호되는 내장 I/O API(set_property)가 포함되어 있습니다. 이 키는 모든 설치 환경에서 동일하며, 활성화 시 실행되는 마이그레이션 SQL에 포함되어 있습니다.

이 API는 image_* 접두어가 붙은 file[] multipart 필드를 통해 파일 업로드를 허용하지만 업로드된 파일 유형을 전혀 검증하지 않습니다. 인증되지 않은 공격자는 임의의 .php 파일을 업로드할 수 있으며, 해당 파일은 wp-content/uploads/WPL/{pid}/ 아래의 예측 가능한 경로에 저장된 후 HTTP를 통해 직접 실행될 수 있습니다.

WordPress 인증도, nonce도, 권한 검사도 필요 없습니다 — 오직 두 개의 하드코딩된 문자열만 있으면 됩니다.

공격 흐름

Attacker                           Target (WordPress + WPL ≤ 5.2.0)
   │                                          │
   │  POST / (multipart/form-data)            │
   │  ├─ public_key  = <hardcoded>            │
   │  ├─ private_key = <hardcoded>            │
   │  ├─ cmd = set_property                   │
   │  └─ file[] = image_Nx_abc.php            │
   │─────────────────────────────────────────►│
   │                                          │ API validates keys ✓
   │                                          │ Saves file (no type check)
   │               {"success": true}          │
   │◄─────────────────────────────────────────│
   │                                          │
   │  GET /wp-content/uploads/WPL/{pid}/Nx_*  │
   │─────────────────────────────────────────►│
   │               PHP executed               │
   │◄─────────────────────────────────────────│

스크립트 기능

작동 모드

출력 파일

사용 방법

python CVE-2026-13714.py

스크립트가 다음 항목을 입력받습니다:

> Target list:    targets.txt
> Threads [1-50]: 10
> Mode [1/2/3]:   2

대상 목록 형식 — 줄마다 대상 하나씩:

example.com
https://site.com
http://192.168.1.10:8080
sub.domain.org/wordpress

요구 사항

• Python 3.8+
• 외부 의존성 없음(표준 라이브러리만 사용)

패치 및 대응

• WPL Real Estate를 5.3.0 이상 버전으로 업데이트
• 즉시 업데이트가 불가능한 경우:
  • 데이터베이스(wpl_settings 테이블)에서 I/O API 키 교체
  • 사용하지 않는다면 I/O API를 완전히 비활성화
  • 서버 구성을 통해 wp-content/uploads/WPL/에 대한 직접 접근 차단

면책 조항

이 도구는 오직 공인된 보안 테스트 및 교육 목적으로만 제공됩니다. 소유하고 있거나 명시적인 서면 허가를 받은 시스템에서만 사용하십시오.

컴퓨터 시스템에 대한 무단 접근은 미국 컴퓨터 사기 및 남용 법률(CFAA), 영국 컴퓨터 남용법(Computer Misuse Act), 그리고 전 세계의 동등한 법률을 포함하되 이에 국한되지 않는 법률에 따라 불법입니다.

작성자는 오용에 대해 어떠한 책임도 지지 않습니다. 이 도구를 사용함으로써 귀하는 자신의 행동에 대한 전적인 책임을 수락하며 모든 관련 법률 및 규정을 준수하는 데 동의합니다.

작성자

Nxploited — Khaled Alenazi

Telegram: @Kxploit

참고 자료

• NVD — CVE-2026-13714
• WPScan — WPL Real Estate
• CVSS 3.1 기본 점수: 9.8 CRITICAL (CISA-ADP)