PT-2025-48009 · WordPress · Bookme – Free Online Appointment Booking/Scheduling Plugin For Wordpress

Sopon Tangpathum · Publicado 2025-11-25 · Atualizado 2025-11-25 · CVE-2025-13385

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.9

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Bookme – Plugin Gratuito de Agendamento e Reserva de Compromissos Online para WordPress versões anteriores à 4.3

Descrição O plugin Bookme para WordPress está suscetível a Injeção de SQL baseada em tempo. Isso se deve à sanitização inadequada da entrada do parâmetro filter[status], permitindo que invasores autenticados com acesso de nível de administrador ou superior injetem consultas SQL adicionais nas consultas existentes do banco de dados. Isso pode levar à extração de informações sensíveis do banco de dados.

Recomendações Atualize o Bookme – Plugin Gratuito de Agendamento e Reserva de Compromissos Online para WordPress para a versão 4.3 ou posterior.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-13385

Produtos afetados

Bookme – Free Online Appointment Booking/Scheduling Plugin For Wordpress

Referências · 7

• https://twitter.com/VulmonFeeds/status/1993289231750332918 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/bookme-free-appointment-booking-system/trunk/app/admin/Bookings.php#L123 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/f2c17222-5de5-4ecd-a7c6-beabe7624c5b?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-13385 · Nota de Segurança
• https://t.me/CVEtracker/38172 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/bookme-free-appointment-booking-system/tags/4.2/app/admin/Bookings.php#L123 · Nota
• https://twitter.com/CVEnew/status/1993225819070906780 · Publicação no Twitter