CVE-2026-13714
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Wtyczka Realtyna Organic IDX + WPL Real Estate dla WordPressa przed wersją 5.3.0 nie weryfikuje typu przesyłanych plików, a funkcja przesyłania plików jest chroniona tylko przez API domyślnie włączone i uwierzytelniane zakodowanymi na stałe danymi, które są identyczne we wszystkich instalacjach. Umożliwia to nieuwierzytelnionym atakującym przesyłanie dowolnych plików PHP i zdalne wykonanie kodu.
Ocena ryzyka
Atakujący może całkowicie przejąć kontrolę nad witryną WordPress, uzyskując zdalne wykonanie kodu bez konieczności posiadania jakichkolwiek poświadczeń.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę Realtyna Organic IDX + WPL Real Estate do wersji 5.3.0 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
The Realtyna Organic IDX plugin + WPL Real Estate WordPress plugin before 5.3.0 does not validate the type of uploaded files, and its file upload functionality is gated only by an API that is enabled by default and authenticated with hardcoded credentials shipped identically across all installations. This makes it possible for unauthenticated attackers to upload arbitrary PHP files and achieve remote code execution.