PT-2025-38515 · WordPress · Service Finder Bookings

Friderika Baranyai · Publicado 2025-09-19 · Atualizado 2025-09-20 · CVE-2025-5948

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Plugin Service Finder Bookings para WordPress versões anteriores à 6.1

Descrição O plugin Service Finder Bookings para WordPress não valida corretamente a identidade de um usuário antes de reivindicar um negócio ao utilizar o endpoint da API claim business. Isso permite que atacantes não autenticados façam login como qualquer usuário, incluindo administradores. Privilégios de assinante ou força bruta são necessários para concluir a tomada de conta, e o claim id é necessário para assumir o controle de uma conta de administrador.

Recomendações Atualize para uma versão anterior à 6.1.

Correção

LPE

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2025-5948

Produtos afetados

Service Finder Bookings

Referências · 9

• https://t.me/cveNotify/135911 · Publicação no Telegram
• https://twitter.com/CveFindCom/status/1968912872081084430 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1968923553438261665 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/7eb018bc-2650-4e0d-8da9-325eac826d45?source=cve · Nota
• https://t.me/CVEtracker/32919 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1968953905531830604 · Publicação no Twitter
• https://themeforest.net/item/service-finder-service-and-business-listing-wordpress-theme/15208793 · Nota
• https://twitter.com/offseq/status/1969348593719878129 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-5948 · Nota de Segurança