rootharpy/cve-2025-14172-nuclei-templateEl plugin WP Page Permalink Extension (<= 1.5.4) permite a usuarios autenticados con privilegios insuficientes desencadenar la acción AJAX cwpp_trigger_flush_rewrite_rules debido a la falta de comprobaciones de autorización.
Este repositorio contiene una plantilla de Nuclei diseñada específicamente para detectar una Vulnerabilidad de Falta de Autorización (CVE-2025-14172) en el plugin de WordPress WP Page Permalink Extension. Este problema permite que atacantes autenticados vacíen remotamente las reglas de reescritura del sitio a través de una acción AJAX vulnerable.
CVE-2025-14172 surge de la falta de comprobaciones de autorización en la función cwpp_trigger_flush_rewrite_rules enlazada a la acción AJAX wp_ajax_cwpp_trigger_flush_rewrite_rules en el plugin WP Page Permalink Extension para WordPress. Esto permite que atacantes autenticados, con acceso a nivel de suscriptor o superior, vacíen las reglas de reescritura del sitio, lo que puede provocar degradación del rendimiento o interrupción del SEO en los sitios WordPress afectados.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:LEsta plantilla de Nuclei intenta detectar la vulnerabilidad enviando una solicitud autenticada a admin-ajax.php con el parámetro action=cwpp_trigger_flush_rewrite_rules y verificando el estado de respuesta específico o la confirmación de éxito.
Para usar esta plantilla con Nuclei, asegúrate de tener Nuclei instalado en tu sistema. Luego ejecuta el siguiente comando:
nuclei -t ruta/a/CVE-2025-14172.yaml -u <url_objetivo>
Reemplaza ruta/a/CVE-2025-14172.yaml con la ruta real a tu archivo de plantilla y <url_objetivo> con la URL del sitio web objetivo.
Esta plantilla fue desarrollada por RootHarpy. Para consultas, colaboraciones o contribuciones, no dudes en contactar a través de GitHub.