Custom Login Page Customizer <= 2.5.3 - Elevación de Privilegios No Autenticada a través de Restablecimiento de Contraseña
Plataforma
wordpress
Componente
login-customizer
Corregido en
2.5.4
2.5.4
La vulnerabilidad CVE-2025-14975 afecta al plugin Custom Login Page Customizer para WordPress, permitiendo una escalada de privilegios que puede resultar en la toma de control de cuentas. Esta falla se debe a una validación inadecuada de la identidad del usuario al cambiar contraseñas. Las versiones afectadas son aquellas iguales o inferiores a 2.5.3. Se ha lanzado una corrección en la versión 2.5.4.
Detecta esta CVE en tu proyecto
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Impacto y Escenarios de Ataque
Un atacante no autenticado puede explotar esta vulnerabilidad para modificar la contraseña de cualquier usuario en el sitio WordPress, incluyendo al administrador. Esto permite al atacante acceder a la cuenta del administrador y, por lo tanto, controlar completamente el sitio web. El impacto es severo, ya que la toma de control de la cuenta de administrador puede resultar en la modificación de contenido, la instalación de malware, el robo de datos sensibles y la interrupción del servicio. La falta de validación adecuada de la identidad del usuario es un error común en plugins de WordPress que pueden tener consecuencias devastadoras si son explotados.
Contexto de Explotación
Esta vulnerabilidad ha sido publicada el 8 de enero de 2026. No se han reportado campañas de explotación activas a la fecha. No se ha añadido a la lista KEV de CISA. La disponibilidad de un Proof of Concept (PoC) público podría aumentar el riesgo de explotación.
Quién Está en Riesgotraduciendo…
WordPress websites utilizing the Custom Login Page Customizer plugin, particularly those running versions prior to 2.5.4, are at significant risk. Shared hosting environments where multiple websites share the same server are especially vulnerable, as a compromise on one site could potentially lead to lateral movement and impact other sites. Sites with weak password policies or a lack of multi-factor authentication are also at increased risk.
Pasos de Deteccióntraduciendo…
• wordpress / composer / npm:
grep -r "wp_update_user_password" /var/www/html/wp-content/plugins/custom-login-page-customizer/• wordpress / composer / npm:
wp plugin list --status=active | grep 'custom-login-page-customizer'• wordpress / composer / npm:
wp plugin update --all• wordpress / composer / npm:
wp plugin status custom-login-page-customizerCronología del Ataque
- Disclosure
disclosure
Inteligencia de Amenazas
Estado del Exploit
EPSS
0.02% (5% percentil)
Vector CVSS
¿Qué significan estas métricas?
- Attack Vector
- Red — explotable remotamente por internet. Sin acceso físico ni local. Mayor superficie de ataque.
- Attack Complexity
- Baja — sin condiciones especiales. El atacante puede explotar de forma confiable sin configuraciones raras.
- Privileges Required
- Ninguno — sin autenticación. No se necesitan credenciales para explotar.
- User Interaction
- Ninguna — el ataque es automático y silencioso. La víctima no hace nada.
- Scope
- Sin cambio — el impacto se limita al componente vulnerable.
- Confidentiality
- Alto — pérdida total de confidencialidad. El atacante puede leer todos los datos.
- Integrity
- Alto — el atacante puede escribir, modificar o eliminar cualquier dato.
- Availability
- Alto — caída completa o agotamiento de recursos. Denegación de servicio total.
Software Afectado
Información del paquete
- Instalaciones activas
- 90KNicho
- Valoración del plugin
- 4.8
- Requiere WordPress
- 4.0+
- Compatible hasta
- 6.9.4
- Requiere PHP
- 5.6+
Clasificación de Debilidad (CWE)
Cronología
- Reservado
- Publicada
- Modificada
- EPSS actualizado
Mitigación y Workarounds
La mitigación principal es actualizar el plugin Custom Login Page Customizer a la versión 2.5.4 o superior. Si la actualización no es inmediatamente posible, considere deshabilitar temporalmente el plugin para evitar la explotación. Como medida adicional, revise los registros de auditoría de WordPress en busca de actividades sospechosas, como cambios de contraseñas no autorizados. Implementar una política de contraseñas robusta y habilitar la autenticación de dos factores (2FA) para todos los usuarios, especialmente los administradores, puede reducir el riesgo de explotación. Después de la actualización, verifique la integridad del sitio web y los datos.
Cómo corregirlo
Actualizar a la versión 2.5.4, o una versión parcheada más reciente
Boletín de seguridad CVE
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
Preguntas frecuentestraduciendo…
What is CVE-2025-14975 — Privilege Escalation in Custom Login Page Customizer?
CVE-2025-14975 is a critical vulnerability in the Custom Login Page Customizer plugin for WordPress allowing unauthenticated attackers to change user passwords, leading to account takeover.
Am I affected by CVE-2025-14975 in Custom Login Page Customizer?
You are affected if you are using the Custom Login Page Customizer plugin version 2.5.3 or earlier. Upgrade to 2.5.4 to resolve the issue.
How do I fix CVE-2025-14975 in Custom Login Page Customizer?
Upgrade the Custom Login Page Customizer plugin to version 2.5.4 or later. If immediate upgrade is not possible, disable the plugin temporarily.
Is CVE-2025-14975 being actively exploited?
While no public exploit is currently available, the vulnerability's severity and ease of exploitation suggest a high probability of active exploitation.
Where can I find the official Custom Login Page Customizer advisory for CVE-2025-14975?
Refer to the plugin developer's website or WordPress.org plugin repository for the official advisory and update information.
¿Tu proyecto está afectado?
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.