CVE-2026-57811 — Realtyna Organic IDX + WPL Real Estate 未认证远程代码执行

严重未认证远程代码执行漏洞（CVSS 10.0）— Realtyna Organic IDX + WPL Real Estate ≤ 5.2.0

该工具利用 CVE-2026-57811，这是 Realtyna Organic IDX + WPL Real Estate WordPress 插件中的一个严重漏洞，允许未认证攻击者通过一个已弃用的移动 API 端点上传恶意 Web Shell，并以 Web 服务器用户身份执行任意系统命令。

⚠️ 漏洞概述

技术细节

该漏洞存在于一个已弃用的移动 API 端点中，该端点对 commands_directory 参数和文件上传处理缺乏充分的验证。未认证攻击者可以：

1. 访问易受攻击的 I/O 端点（?wplview=io&wplformat=io）
2. 绕过使用默认密钥的签名验证
3. 上传恶意 PHP Shell（通过 set_property 命令）
4. 确定通过 PID 暴力破解上传文件的路径
5. 执行通过访问已上传 Shell 的系统命令

🚀 功能特性

• ✅ 单目标利用（-u）
• ✅ 批量扫描与利用（-f targets.txt）
• ✅ 多线程（-t 10）— 快速并行处理
• ✅ 自动 PID 检测，支持智能暴力破解
• ✅ 实时进度条，带加载动画
• ✅ JSONL/CSV 导出 — 完整结果详情
• ✅ Shell URL 保存 — shells.txt 包含所有 Shell URL
• ✅ 自定义 Payload URL — 使用您自己的 Shell（--payload-url）
• ✅ 延迟支持 — 避免速率限制（--delay）
• ✅ 代理支持（--proxy）
• ✅ 彩色输出，带动态横幅

📥 安装

# 克隆仓库
git clone https://github.com/0xCyp1337/CVE-2026-57811.git
cd CVE-2026-57811
python3 CVE-2026-57811.py -h

# 安装依赖
pip install requests