📄 CVE-2025-14172 的 Nuclei 模板

🚀 概述

本仓库包含一个专门用于检测 WP Page Permalink Extension WordPress 插件中 缺失授权漏洞 (CVE-2025-14172) 的 Nuclei 模板。该漏洞允许经过身份验证的攻击者通过存在漏洞的 AJAX 操作远程刷新站点的重写规则。

🔍 漏洞描述

CVE-2025-14172 源于 WP Page Permalink Extension WordPress 插件中，cwpp_trigger_flush_rewrite_rules 函数在挂接到 wp_ajax_cwpp_trigger_flush_rewrite_rules AJAX 操作时缺少授权检查。这允许经过身份验证的攻击者（拥有订阅者及以上权限）刷新站点的重写规则，可能导致受影响 WordPress 站点的性能下降或 SEO 中断。

🛑 受影响版本

• WP Page Permalink Extension 插件：1.5.4 及之前版本

📊 CVSS 分数

• 基础分：6.5（中危）

🏷️ CVSS 向量

• CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L

📋 模板详情

该 Nuclei 模板尝试通过向 admin-ajax.php 发送经过身份验证的请求，并附带 action=cwpp_trigger_flush_rewrite_rules 参数，然后检查特定的响应状态或成功确认来检测该漏洞。

🛠️ 使用说明

要使用此模板配合 Nuclei，请确保在你的系统上已安装 Nuclei。然后运行以下命令：

nuclei -t path/to/CVE-2025-14172.yaml -u <target_url>

请将 path/to/CVE-2025-14172.yaml 替换为模板文件的实际路径，并将 <target_url> 替换为目标网站 URL。

👤 作者

该模板由 RootHarpy 开发。如有咨询、合作或贡献，欢迎通过 GitHub 联系。