4. September 2025
Sicherheitsforscher haben eine bislang ungepatchte Schwachstelle im Service Finder Bookings-Plugin identifiziert, die Angreifern eine nicht authentifizierte Rechteausweitung ermöglicht. Nutzer des Plugins sollten daher dringend Vorsichtsmaßnahmen ergreifen: Solange kein Sicherheitsupdate verfügbar ist, wird empfohlen, das Plugin zu deaktivieren und von der Website zu entfernen.
Über das Service Finder Bookings-Plugin
Das Plugin ist ein erforderliches Plugin, das im Premium-Theme Service Finder enthalten ist, das über 6.000 Mal verkauft wurde. Das Theme ist ein Verzeichnis- und Jobbörsen-WordPress-Theme, und das Plugin selbst übernimmt den gesamten damit verbundenen Buchungsprozess für den Service Finder.
Die Sicherheitslücke
In den Versionen 6.1 (aktuellste) und darunter ist das Plugin anfällig für eine Privilegieneskalation, die es jedem nicht authentifizierten Angreifer ermöglicht, seine Berechtigungen auf Administratorrechte zu erweitern oder sich sogar als beliebiger Benutzer auf der Website anzumelden. Für diese Sicherheitslücke gibt es derzeit keine gepatchte Version. Sie wird unter der Nummer CVE-2025-23970 geführt.
Der Patch
Zum Zeitpunkt der Veröffentlichung dieses Artikels war uns keine gepatchte Version bekannt.
Es ist notwendig, bei der Handhabung von Sitzungen und Authentifizierungs-Cookies äußerste Vorsicht walten zu lassen. Bei der Zuweisung von Benutzersitzungen sollten ordnungsgemäße Authentifizierungs-/Autorisierungsprüfungen durchgeführt werden.
Zeitplan
31. Mai 2025 Wir haben den Sicherheitsbericht erhalten und den Anbieter benachrichtigt.
2. Juni 2025 Wir haben den Anbieter über die Sicherheitslücke informiert.
3. Juli 2025 Wir haben den Eintrag zur Sicherheitslücke in der Pachstack-Datenbank veröffentlicht (keine Antwort vom Anbieter).
3. September 2025 Veröffentlichung des Artikels mit Sicherheitshinweisen
Hier gibt’s noch mehr dazu
Bild/Quelle: https://depositphotos.com/de/home.html
Fachartikel
OpenAI präsentiert GPT-5.2-Codex: KI-Revolution für autonome Softwareentwicklung und IT-Sicherheit
Speicherfehler in Live-Systemen aufspüren: GWP-ASan macht es möglich
Geparkte Domains als Einfallstor für Cyberkriminalität: Über 90 Prozent leiten zu Schadsoftware weiter
Umfassender Schutz für geschäftskritische SAP-Systeme: Strategien und Best Practices
Perfide Masche: Wie Cyberkriminelle über WhatsApp-Pairing ganze Konten übernehmen
Studien
![Featured image for “Phishing-Studie deckt auf: [EXTERN]-Markierung schützt Klinikpersonal kaum”](https://www.all-about-security.de/wp-content/uploads/2025/12/phishing-4.jpg)
Phishing-Studie deckt auf: [EXTERN]-Markierung schützt Klinikpersonal kaum
Gartner-Umfrage: Mehrheit der nicht geschäftsführenden Direktoren zweifelt am wirtschaftlichen Wert von Cybersicherheit
49 Prozent der IT-Verantwortlichen in Sicherheitsirrtum
Deutschland im Glasfaserausbau international abgehängt
NIS2 kommt – Proliance-Studie zeigt die Lage im Mittelstand
Whitepaper
State of Cloud Security Report 2025: Cloud-Angriffsfläche wächst schnell durch KI
BITMi zum Gutachten zum Datenzugriff von US-Behörden: EU-Unternehmen als Schlüssel zur Datensouveränität
Agentic AI als Katalysator: Wie die Software Defined Industry die Produktion revolutioniert
OWASP veröffentlicht Security-Framework für autonome KI-Systeme
Malware in Bewegung: Wie animierte Köder Nutzer in die Infektionsfalle locken
Hamsterrad-Rebell
Platform Security: Warum ERP-Systeme besondere Sicherheitsmaßnahmen erfordern
Daten in eigener Hand: Europas Souveränität im Fokus
Sicherer Remote-Zugriff (SRA) für Operational Technology (OT) und industrielle Steuerungs- und Produktionssysteme (ICS)
Identity und Access Management (IAM) im Zeitalter der KI-Agenten: Sichere Integration von KI in Unternehmenssysteme
