PT-2025-44707 · WordPress · Service Finder Bookings

Friderika Baranyai · Publicado 2025-11-01 · Atualizado 2025-11-20 · CVE-2025-5949

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Plugin Service Finder Bookings para WordPress versões até a 6.0 (inclusive)

Descrição O plugin Service Finder Bookings para WordPress está susceptível a escalonamento de privilégios, potencialmente levando à tomada de conta. Isso ocorre porque o plugin não verifica adequadamente a identidade de um usuário antes de processar uma solicitação de alteração de senha. Atacantes autenticados com acesso de nível de assinante ou superior podem explorar isso para redefinir as senhas de outros usuários, incluindo administradores. A funcionalidade vulnerável está relacionada à função change candidate password.

Recomendações Versões anteriores à 6.1 devem ser atualizadas.

Correção

LPE

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2025-5949

Produtos afetados

Service Finder Bookings

Referências · 10

• https://twitter.com/CveFindCom/status/1984495672763052437 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1984481062341525579 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1984503308980019345 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/a2874a5f-71f4-4bcd-87e8-a20bb19a5847?source=cve · Nota
• https://t.me/CVEtracker/36363 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-5949 · Nota de Segurança
• https://themeforest.net/item/service-finder-service-and-business-listing-wordpress-theme/15208793 · Nota
• https://t.me/cveNotify/141236 · Publicação no Telegram
• https://twitter.com/jmdevlabs/status/1991612885949169838 · Publicação no Twitter
• https://twitter.com/RedPacketSec/status/1984563394347729373 · Publicação no Twitter