漏洞速览
- 漏洞编号：
CVE-2026-14483 - 风险评分：
9.8（严重） - 首次披露：2026-07-30
- 最近更新：2026-07-31
- 软件类型：插件
- 软件标识：
real-estate-listing-realtyna-wpl - 受影响版本：<= 5.2.0
- 是否已修复：否
漏洞详情
Realtyna Organic IDX 插件（含捆绑的 WPL Real Estate 插件）在 WordPress 上的所有版本直至 5.2.0 均存在任意文件上传漏洞。漏洞根源在于上传函数中缺少文件类型验证，加之该 I/O 端点公开可访问、仅依赖插件预设的静态 API 凭据进行认证，且该凭据在所有安装中完全相同。这使得未认证攻击者可上传可执行文件，进而实现远程代码执行。该 WPL I/O 服务端点注册在公开的 WordPress init 钩子上，未做任何 WordPress 能力检查，而所需的 apikey 和 apisecret 为插件自身 SQL 迁移文件预置的静态默认值——也就是说，任何知晓这些公开文档化默认值的未认证攻击者均可访问并利用该存在漏洞的上传路径。
影响与风险
- 漏洞类型：Unauthenticated Arbitrary File Upload via ‘files[file]’ Parameter via Public I/O ‘set_property’ Command
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
- 研究人员：Khaled Alenazi (Nxploited)
修复建议
- 按官方建议执行修复：目前暂无官方补丁，建议基于风险评估采取临时缓解措施，并优先停用受影响软件或更换替代方案。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
