PT-2025-46570 · WordPress · Bookit+1

CVE-2025-12633 · Publicado 2025-11-12 · Atualizado 2025-11-12

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin Booking Calendar | Appointment Booking | Bookit para WordPress versões até e incluindo a 2.5.0

Descrição O plugin Booking Calendar | Appointment Booking | Bookit para WordPress está suscetível à modificação não autorizada de dados. Isso se deve à falta de uma verificação de capacidade no endpoint da API /wp-json/bookit/v1/commerce/stripe/return. Isso permite que atacantes não autenticados conectem suas contas do Stripe e recebam pagamentos. A conta do Stripe pode ser comprometida.

Recomendações Versões até e incluindo a 2.5.0 devem ser atualizadas.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2025-12633

Produtos afetados

Booking Calendar

Bookit

Referências · 5

• https://twitter.com/VulmonFeeds/status/1988541919358550309 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/2263d356-b2ed-4e16-98ee-b01d4274d1d9?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-12633 · Nota de Segurança
• https://plugins.trac.wordpress.org/changeset/3393159/bookit/tags/2.5.1/src/Bookit/Gateways/StripeConnect/REST/Return_Endpoint.php?old=3121677&old_path=bookit%2Ftags%2F2.5.0%2Fsrc%2FBookit%2FGateways%2FStripeConnect%2FREST%2FReturn_Endpoint.php · Nota
• https://twitter.com/CVEnew/status/1988522843777495426 · Publicação no Twitter