Realtyna Organic IDX plugin + WPL Real Estate 插件超危漏洞预警（CVE-2026-14483）

漏洞速览

• 漏洞编号：CVE-2026-14483
• 风险评分：9.8（严重）
• 首次披露：2026-07-30
• 最近更新：2026-07-31
• 软件类型：插件
• 软件标识：real-estate-listing-realtyna-wpl
• 受影响版本：<= 5.2.0
• 是否已修复：否

漏洞详情

Realtyna Organic IDX 插件与 WPL Real Estate 插件在 WordPress 中存在任意文件上传漏洞，影响所有版本至 5.2.0（含）以下。漏洞根源在于上传函数缺少文件类型检查，并且存在一个公开可访问的 I/O 接口，该接口仅使用插件自行生成的静态 API 凭证进行认证，且所有安装实例的凭证相同。攻击者无需登录即可利用此漏洞上传可执行文件，从而实现远程代码执行。该 I/O 服务端点在 WordPress 公共 init 钩子上注册，未进行任何权限检查，且所需的 api_key 与 api_secret 为插件 SQL 迁移脚本预设的固定默认值，已在公开文档中披露。因此，任何知晓这些默认凭证的未认证攻击者均可访问并利用该上传路径。

影响与风险

• 漏洞类型：Unauthenticated Arbitrary File Upload via ‘files[file]’ Parameter via Public I/O ‘set_property’ Command
• 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
• 研究人员：Khaled Alenazi (Nxploited)

修复建议

1. 按官方建议执行修复：目前暂无官方补丁，建议基于风险评估采取临时缓解措施，并优先停用受影响软件或更换替代方案。
2. 复核 administrator/shop manager 等高权限账号与角色授权。
3. 排查近期插件安装/配置变更记录，确认无异常写入。
4. 建议配合 WAF 与登录审计，持续观察可疑请求。

延伸阅读

• Wordfence 原始漏洞记录
• WordPress 插件页面
• CVE 官方记录
• CVSS 3.1 评分说明
• CVE 官方记录
• CVE 官方记录