CVE-2026-13714

Плагин Realtyna Organic IDX + WPL Real Estate < 5.3.0 — неаутентифицированная произвольная загрузка файлов, приводящая к удалённому выполнению кода

CVE-2026-13714 — WPL Real Estate: RCE без аутентификации

Плагин Realtyna Organic IDX + WPL Real Estate для WordPress < 5.3.0

Неаутентифицированная произвольная загрузка файлов с использованием встроенных учётных данных I/O API, приводящая к удалённому выполнению кода.

Уязвимость

Плагин WPL Real Estate поставляется со встроенным I/O API (set_property), который включён по умолчанию и защищён только парой встроенных ключей (public_key / private_key). Эти ключи одинаковы во всех установках — они встроены в миграционный SQL, который выполняется при активации.

API принимает загрузку файлов через multipart-поле file[] с префиксом image_*, но не выполняет никакой проверки типа загружаемого файла. Неаутентифицированный злоумышленник может загружать произвольные .php-файлы, которые сохраняются по предсказуемому пути в wp-content/uploads/WPL/{pid}/, и выполнять их напрямую через HTTP.

Никакой аутентификации WordPress, никакого nonce, никакой проверки прав — только две встроенные строки.

Схема атаки

Attacker                           Target (WordPress + WPL ≤ 5.2.0)
   │                                          │
   │  POST / (multipart/form-data)            │
   │  ├─ public_key  = <hardcoded>            │
   │  ├─ private_key = <hardcoded>            │
   │  ├─ cmd = set_property                   │
   │  └─ file[] = image_Nx_abc.php            │
   │─────────────────────────────────────────►│
   │                                          │ API validates keys ✓
   │                                          │ Saves file (no type check)
   │               {"success": true}          │
   │◄─────────────────────────────────────────│
   │                                          │
   │  GET /wp-content/uploads/WPL/{pid}/Nx_*  │
   │─────────────────────────────────────────►│
   │               PHP executed               │
   │◄─────────────────────────────────────────│

Возможности скрипта

Режимы работы

Выходные файлы

Использование

python CVE-2026-13714.py

Скрипт запрашивает:

> Target list:    targets.txt
> Threads [1-50]: 10
> Mode [1/2/3]:   2

Формат списка целей — одна цель на строку:

example.com
https://site.com
http://192.168.1.10:8080
sub.domain.org/wordpress

Требования

• Python 3.8+
• Без внешних зависимостей (только стандартная библиотека)

Устранение уязвимости

• Обновите WPL Real Estate до версии 5.3.0 или новее
• Если немедленное обновление невозможно:
  • Смените ключи I/O API в базе данных (таблица wpl_settings)
  • Полностью отключите I/O API, если он не используется
  • Заблокируйте прямой доступ к wp-content/uploads/WPL/ с помощью настроек сервера

Отказ от ответственности

Этот инструмент предоставляется строго для авторизованного тестирования безопасности и образовательных целей. Используйте его только на системах, которыми вы владеете или на тестирование которых имеете явное письменное разрешение.

Несанкционированный доступ к компьютерным системам является незаконным в соответствии с законодательством, включая, но не ограничиваясь: Computer Fraud and Abuse Act (CFAA), британским Computer Misuse Act и аналогичными законами по всему миру.

Автор не несёт никакой ответственности за неправомерное использование. Используя этот инструмент, вы принимаете на себя полную ответственность за свои действия и соглашаетесь соблюдать все применимые законы и нормативные акты.

Автор

Nxploited — Khaled Alenazi

Telegram: @Kxploit

Ссылки

• NVD — CVE-2026-13714
• WPScan — WPL Real Estate
• Базовая оценка CVSS 3.1: 9.8 КРИТИЧЕСКИЙ (CISA-ADP)