Wenn Sie von mir eine E-Mail mit einem Verweis auf diese Seite erhalten haben, dann deshalb, weil Ihre Website offenbar eine verwundbare Version von Realtyna Organic IDX plugin + WPL Real Estate einsetzt (das WordPress-Plugin real-estate-listing-realtyna-wpl von Realtyna). Möglicherweise kennen Sie es als WPL oder als Organic IDX-Plugin. Diese Seite erklärt, warum das wichtig ist und wie Sie es beheben.

Dieser Hinweis betrifft CVE-2026-13714, einen nicht authentifizierten beliebigen Datei-Upload, der zu Remote-Code-Ausführung führt. Im Klartext: Jemand, der nicht angemeldet ist und weder ein Konto noch eine besondere Konfiguration auf Ihrer Website benötigt, kann eine Skriptdatei in den Upload-Bereich Ihrer Website schreiben und anschließend ausführen. Das bedeutet vollständige Kontrolle über den serverseitigen Code der Website. Betroffen sind die Versionen 4.0.0 bis 5.2.0; behoben ist es in 5.3.0, veröffentlicht am 30. Juni 2026. Versionen vor 4.0.0 enthalten diese Schwachstelle nicht. Wenn Sie eine betroffene Version einsetzen, aktualisieren Sie das Plugin schnellstmöglich auf 5.3.0 oder neuer und lesen Sie anschließend Wenn Sie eine betroffene Version eingesetzt haben.

Dies ist eine Schwachstelle im Plugin, nicht im WordPress-Kern. Ein vollständig aktuelles WordPress schützt Sie nicht, wenn dieses Plugin selbst in einer betroffenen Version vorliegt.

Ist diese Nachricht seriös?

Ja. Dies ist ein Hinweis nach den Grundsätzen der verantwortungsvollen Offenlegung von einem unabhängigen Sicherheitsforscher. Ich verlange kein Geld, keine Passwörter und keinen Zugang zu Ihrer Website, und ich habe nicht versucht, in sie einzudringen, etwas hochzuladen oder etwas auszunutzen.

Ich habe lediglich öffentlich sichtbare Dateien angesehen, die Ihre Website jedem Besucher ausliefert (genauso öffentlich wie Ihre Startseite), und die Versionsnummer notiert, die das Plugin in seiner öffentlichen Datei readme.txt angibt. Insbesondere habe ich nichts an die betroffene Upload-Schnittstelle gesendet. Es wurde nichts hochgeladen, getestet oder ausgenutzt, und diese Prüfung berührt weder Ihre Daten noch Ihren Adminbereich oder irgendeinen privaten Teil Ihrer Website.

Wenn Sie überprüfen möchten, wer ich bin, sehen Sie sich die Kontaktdaten am Ende dieser Seite und die Seite Über an.

Warum das wichtig ist

Das Plugin bringt eine I/O-Schnittstelle für eine “mobile Anwendung” mit, also eine Reihe von Befehlen, die ein externer Client über das Web aufrufen kann. Einer dieser Befehle speichert eine hochgeladene Datei unter dem vom Hochladenden gewählten Namen, ohne den Dateityp zu prüfen. Eine Datei mit einer Skript-Endung landet daher als Skript im Upload-Bereich der Website, wo sie über das Web abgerufen und vom Server ausgeführt werden kann.

Zwei Umstände machen daraus ein reales und kein theoretisches Problem:

  • Die Schnittstelle ist in einer Standardinstallation eingeschaltet. Es muss keine Einstellung aktiviert und keine Funktion genutzt werden, damit der Endpunkt antwortet.
  • Das Schlüsselpaar, das Aufrufe eigentlich authentifizieren soll, ist in jeder Installation des Plugins mit demselben festen Wert vorbelegt, und die Oberfläche markiert es als schreibgeschützt, sodass Betreiber es nicht ändern können, selbst wenn sie wollten. Ein Geheimnis, das überall identisch und im Quellcode öffentlich ist, ist kein Geheimnis; die Sperre ist also keine echte Sperre.

Zusammen bedeutet das: Ein nicht authentifizierter Besucher kann ausführbaren Code auf dem Server ablegen. Sobald Code auf Ihrem Server läuft, kann er alles tun, was Ihre Website tun kann: die Datenbank lesen, Administratorkonten anlegen, Seiten verändern oder ersetzen, E-Mails von Ihrer Domain versenden oder eine dauerhafte Hintertür installieren.

Ich veröffentliche bewusst weder das Format der Anfrage noch die Parameternamen oder ein funktionierendes Beispiel, und ich bitte Sie, dies ebenfalls zu unterlassen. Die obige Beschreibung gibt die Form des Problems wieder, und das ist es, was Sie brauchen, um über die Dringlichkeit zu entscheiden.

Die zuständige Vergabestelle hat für dieses Problem keinen CVSS-Schweregrad veröffentlicht, daher nennt diese Seite auch keinen. Das Problem ist nicht im Katalog bekannter ausgenutzter Schwachstellen (KEV) der CISA gelistet, und mir liegen keine Hinweise darauf vor, dass es in freier Wildbahn ausgenutzt wird oder dass eine bestimmte Website darüber angegriffen wurde. Klar sagen lässt sich nur, was die Schwachstelle ermöglicht: nicht authentifiziert, ohne notwendige Konfiguration, endend in Code-Ausführung.

Noch etwas ist wichtig zu wissen, weil es die Aktualisierung optional wirken lässt, obwohl sie es nicht ist: Das Änderungsprotokoll des Herstellers zu 5.3.0 erwähnt keine Sicherheit. Dort steht “Removed deprecated mobile_application”. Genau dieser Eintrag ist die Korrektur: Das verwundbare Subsystem wurde vollständig entfernt. Wer die Versionshinweise nach einem Sicherheitshinweis durchsucht, findet keinen.

Die gute Nachricht: Die Aktualisierung auf die korrigierte Version schließt die Lücke, und sie ist unkompliziert.

Bin ich betroffen?

Sie müssen mir nicht glauben, welche Version Sie einsetzen.

Im WordPress-Adminbereich (das ist die maßgebliche Prüfung):

  1. Melden Sie sich in Ihrem WordPress-Dashboard an (üblicherweise unter yourdomain.com/wp-admin).
  2. Gehen Sie zu Plugins und dann Installierte Plugins.
  3. Suchen Sie Realtyna Organic IDX plugin + WPL Real Estate und lesen Sie die unter dem Namen angezeigte Version ab.

Über die öffentliche Manifestdatei (ohne Anmeldung): Öffnen Sie yourdomain.com/wp-content/plugins/real-estate-listing-realtyna-wpl/readme.txt im Browser. Die Zeile Stable tag: weiter oben nennt die Version, die Ihre Installation meldet. Diese Datei liegt im Plugin-Ordner selbst, spiegelt also das tatsächlich Installierte wider, und es ist dieselbe öffentliche Datei, die ich gelesen habe.

Wenden Sie dann diese Regel an:

  • 4.0.0 bis 5.2.0: betroffen, jetzt aktualisieren.
  • 5.3.0 oder neuer: bereits behoben, für dieses Problem ist nichts zu tun.
  • Älter als 4.0.0: von diesem Problem nicht betroffen. Der ungeprüfte Upload-Code existiert in diesen Versionen gar nicht. Öffentliche Darstellungen beschreiben den betroffenen Bereich als “alle Versionen vor 5.3.0”; das ist nicht korrekt, und wenn Sie eine 3.x-Version einsetzen, besteht kein Grund, dies als Notfall zu behandeln. Es handelt sich dennoch um eine sehr alte Version, sodass eine Aktualisierung aus anderen Gründen weiterhin sinnvoll ist.

Lesen Sie die Version nicht aus einer Asset-URL ab. Wenn Sie im Quelltext Ihrer Seite etwas wie realtyna.min.js?ver=5.2.21 sehen, ist diese Zahl nicht die Plugin-Version. Dieses Plugin übergibt WordPress beim Registrieren seiner Stylesheets und Skripte nicht die eigene Version, sodass WordPress stattdessen Ihre WordPress-Kernversion einsetzt. Wir haben Live-Websites mit Plugin-Version 4.3.2 gesehen, die ein ?ver= von 4.9.9 auslieferten, sowie Websites mit 5.2.21, einer WordPress-Kernversion, die zufällig genau wie eine Plugin-Version knapp unterhalb der Grenze 5.3.0 aussieht. Diese Zahl als Plugin-Version zu lesen, kann Ihnen das Gegenteil der Wahrheit sagen. Nutzen Sie den Adminbereich oder readme.txt.

So beheben Sie es

Der sicherste Weg führt über WordPress selbst, und zwar mit vorheriger Sicherung:

  1. Sichern Sie Ihre Website (Dateien und Datenbank), bevor Sie Änderungen vornehmen. Die meisten Hosting-Anbieter bieten Sicherungen per Klick, alternativ nutzen Sie ein WordPress-Backup-Plugin.
  2. Gehen Sie im WordPress-Adminbereich zu Dashboard und dann Aktualisierungen oder zu Plugins und dann Installierte Plugins. Wenn dort eine Aktualisierung für das Plugin aufgeführt ist, installieren Sie sie von hier aus.
  3. Wenn Sie die Kommandozeile bevorzugen, leistet WP-CLI dasselbe: wp plugin update real-estate-listing-realtyna-wpl.
  4. Erscheint keine Aktualisierung, können Sie die aktuelle Version direkt von der Plugin-Seite im WordPress.org-Verzeichnis beziehen, Realtyna Organic IDX plugin + WPL Real Estate, und über Plugins, dann Neues Plugin hinzufügen, dann Plugin hochladen aktualisieren.
  5. Prüfen Sie nach der Aktualisierung mit den obigen Schritten die neue Versionsnummer (5.3.0 oder neuer) und ob Ihre Website normal lädt.

Wenn eine sofortige Aktualisierung wirklich nicht möglich ist, besteht der Zwischenschritt darin, die I/O-Schnittstelle des Plugins in dessen eigenen Einstellungen abzuschalten, was den Weg zum Upload-Befehl schließt. Betrachten Sie das als Notbehelf, der Zeit verschafft, nicht als Ersatz für die Aktualisierung: Nur 5.3.0 entfernt den verwundbaren Code.

Wenn Sie ohnehin gerade dort sind, lohnt es sich zu prüfen, ob WordPress-Kern und Ihre übrigen Plugins aktuell sind, denn für sie gilt dasselbe Prinzip.

Wenn Sie eine betroffene Version eingesetzt haben

Da dieses Problem erlaubt, eine Datei hochzuladen und anschließend auszuführen, schließt die Aktualisierung zwar die Lücke, macht aber nicht rückgängig, was möglicherweise bereits darüber geschehen ist. Wenn Ihre Website eine betroffene Version einsetzte, während sie aus dem Internet erreichbar war, lohnt sich eine Prüfung. Sie (oder Ihr Webmaster) sollten auf Ihrer eigenen Website nach Folgendem sehen:

  • Skriptdateien im Upload-Bereich, die dort nicht hingehören. Sehen Sie unter wp-content/uploads/ nach Dateien mit der Endung .php (oder anderen ausführbaren Endungen) zwischen den Immobilienbildern und Dokumenten. Rechtmäßige Uploads für ein Immobilienangebot sind Bilder, PDFs und Ähnliches; eine .php-Datei dazwischen ist nicht normal.
  • Dateien mit auffälligen oder sehr neuen Zeitstempeln. Sortieren Sie nach Änderungsdatum und achten Sie auf alles, was Sie sich nicht erklären können, auch in den Upload-Ordnern des Plugins selbst.
  • Ihre Administratorkonten. Filtern Sie unter Benutzer und dann Alle Benutzer nach Administrator und entfernen Sie jedes Konto, das Sie nicht kennen. Ein neues Adminkonto anzulegen ist eine gängige Methode, um sich Zugang zu erhalten.
  • Kürzlich installierte oder veränderte Plugins und Themes. Achten Sie auf alles, was Sie nicht selbst installiert haben, und auf Plugins mit generischen oder unbekannten Namen, denn ein untergeschobenes Plugin oder Theme ist eine gängige Methode, eine Hintertür zu platzieren.
  • Weitere Anzeichen. Unerwartete neue Inhalte oder Seiten, geänderte Admin-E-Mail- oder Website-URL-Einstellungen, unbekannte geplante Aufgaben oder Beschwerden über ausgehenden Spam sind allesamt eine Untersuchung wert.

Wenn Sie Hinweise auf unbefugten Zugriff finden, behandeln Sie die Website als kompromittiert: Entfernen Sie die Dateien, wechseln Sie Ihre Zugangsdaten (WordPress-Admin, Datenbank und Hosting-Panel) und erwägen Sie, eine als sauber bekannte Sicherung von vor dem Vorfall einzuspielen. Wenn Ihre Organisation ein IT-Sicherheitsteam hat, beziehen Sie es ein.

Um es klar zu sagen: Ich habe Ihre Website nicht auf diese Anzeichen geprüft, und ich weiß nicht, ob Ihre Website betroffen war. Diese Liste steht hier, damit Sie selbst nachsehen können. Eine Website im betroffenen Versionsbereich kann außerdem bereits anderweitig geschützt sein (durch eine Web Application Firewall, eine vom Hoster zurückportierte Korrektur oder eine abgeschaltete I/O-Schnittstelle); dieser Hinweis ist eine versionsbasierte Beobachtung, keine Aussage darüber, dass Ihre Website zum Zeitpunkt meiner Prüfung angreifbar war.

Was ich getan und was ich nicht getan habe

  • Ich habe die öffentliche readme.txt des Plugins und Ihre Startseite gelesen, die Ihre Website beide jedem Besucher ausliefert.
  • Ich habe nicht auf Ihren WordPress-Adminbereich, Ihre Datenbank oder einen privaten Teil Ihrer Website zugegriffen.
  • Ich habe nichts an die betroffene Upload-Schnittstelle gesendet. Es wurde nichts hochgeladen und nichts getestet oder ausgenutzt. Wenn die Schwachstelle selbst ein offener Upload-Endpunkt ist, macht genau dieses Nichtanfassen den ganzen Unterschied zwischen einer Offenlegung und einem Eindringen aus.
  • Der Befund ist daher eine versionsbasierte Beobachtung, und Sie können ihn anhand derselben öffentlichen Datei selbst nachvollziehen.

Ich habe keinen Webmaster / ich komme nicht weiter

Wenn Sie nicht die Person sind, die die Website betreut, leiten Sie diese Seite bitte an diejenigen weiter, die es tun (Ihre Webentwickler, Agentur oder Ihren Hoster). Sie werden die obigen Schritte schnell wiedererkennen.

Wenn Sie die Website selbst betreuen und nicht weiterkommen, helfe ich Ihnen gerne kostenlos in die richtige Richtung. Melden Sie sich über die untenstehenden Kontaktdaten.

Kontakt

Evan Harris, Sicherheitsforscher

Ich melde mich zu solchen Themen ausschließlich, um Betreibern zu helfen, ihre Websites abzusichern. Wenn Sie nicht erneut kontaktiert werden möchten, sagen Sie einfach Bescheid, und ich halte mich daran.

Referenzen

Offizielle Advisories und Nachverfolgung

Hersteller / Plugin