rootharpy/cve-2025-14172-nuclei-templateПлагин WP Page Permalink Extension (<= 1.5.4) позволяет аутентифицированным пользователям с недостаточными привилегиями запускать AJAX-действие cwpp_trigger_flush_rewrite_rules из-за отсутствия проверок авторизации.
Этот репозиторий содержит шаблон Nuclei, специально разработанный для обнаружения уязвимости отсутствия авторизации (CVE-2025-14172) в плагине WordPress WP Page Permalink Extension. Эта проблема позволяет аутентифицированным злоумышленникам удаленно сбрасывать правила перезаписи сайта через уязвимое AJAX-действие.
CVE-2025-14172 возникает из-за отсутствия проверок авторизации в функции cwpp_trigger_flush_rewrite_rules, подключенной к AJAX-действию wp_ajax_cwpp_trigger_flush_rewrite_rules в плагине WP Page Permalink Extension для WordPress. Это позволяет аутентифицированным злоумышленникам, имеющим доступ на уровне подписчика и выше, сбрасывать правила перезаписи сайта, что может привести к ухудшению производительности или нарушению SEO на затронутых сайтах WordPress.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:LЭтот шаблон Nuclei пытается обнаружить уязвимость, отправляя аутентифицированный запрос к admin-ajax.php с параметром action=cwpp_trigger_flush_rewrite_rules и проверяя конкретный статус ответа или подтверждение успеха.
Чтобы использовать этот шаблон с Nuclei, убедитесь, что Nuclei установлен в вашей системе. Затем выполните следующую команду:
nuclei -t path/to/CVE-2025-14172.yaml -u <target_url>
Замените path/to/CVE-2025-14172.yaml на фактический путь к вашему файлу шаблона, а <target_url> на URL целевого веб-сайта.
Этот шаблон был разработан RootHarpy. По вопросам, сотрудничеству или вкладу обращайтесь через GitHub.