4. September 2025
Sicherheitsforscher haben eine bislang ungepatchte Schwachstelle im Service Finder Bookings-Plugin identifiziert, die Angreifern eine nicht authentifizierte Rechteausweitung ermöglicht. Nutzer des Plugins sollten daher dringend Vorsichtsmaßnahmen ergreifen: Solange kein Sicherheitsupdate verfügbar ist, wird empfohlen, das Plugin zu deaktivieren und von der Website zu entfernen.
Über das Service Finder Bookings-Plugin
Das Plugin ist ein erforderliches Plugin, das im Premium-Theme Service Finder enthalten ist, das über 6.000 Mal verkauft wurde. Das Theme ist ein Verzeichnis- und Jobbörsen-WordPress-Theme, und das Plugin selbst übernimmt den gesamten damit verbundenen Buchungsprozess für den Service Finder.
Die Sicherheitslücke
In den Versionen 6.1 (aktuellste) und darunter ist das Plugin anfällig für eine Privilegieneskalation, die es jedem nicht authentifizierten Angreifer ermöglicht, seine Berechtigungen auf Administratorrechte zu erweitern oder sich sogar als beliebiger Benutzer auf der Website anzumelden. Für diese Sicherheitslücke gibt es derzeit keine gepatchte Version. Sie wird unter der Nummer CVE-2025-23970 geführt.
Der Patch
Zum Zeitpunkt der Veröffentlichung dieses Artikels war uns keine gepatchte Version bekannt.
Es ist notwendig, bei der Handhabung von Sitzungen und Authentifizierungs-Cookies äußerste Vorsicht walten zu lassen. Bei der Zuweisung von Benutzersitzungen sollten ordnungsgemäße Authentifizierungs-/Autorisierungsprüfungen durchgeführt werden.
Zeitplan
31. Mai 2025 Wir haben den Sicherheitsbericht erhalten und den Anbieter benachrichtigt.
2. Juni 2025 Wir haben den Anbieter über die Sicherheitslücke informiert.
3. Juli 2025 Wir haben den Eintrag zur Sicherheitslücke in der Pachstack-Datenbank veröffentlicht (keine Antwort vom Anbieter).
3. September 2025 Veröffentlichung des Artikels mit Sicherheitshinweisen
Hier gibt’s noch mehr dazu
Bild/Quelle: https://depositphotos.com/de/home.html
Fachartikel
CrackArmor: AppArmor-Schwachstellen ermöglichen Root-Zugriff auf über 12 Millionen Linux-Systemen
KI-Agenten als interne Sicherheitsrisiken: Was Experimente zeigen
MCP-Sicherheitsstudie: 555 Server mit riskanten Tool-Kombinationen identifiziert
SOX-Compliance in SAP: Anforderungen, IT-Kontrollen und der Weg zur Automatisierung
Irans Cyberoperationen vor „Epic Fury“: Gezielter Infrastrukturaufbau und Hacktivisten-Welle nach den Angriffen
Studien
Drucksicherheit bleibt in vielen KMU ein vernachlässigter Bereich
Sieben Regierungen einigen sich auf 6G-Sicherheitsrahmen
Lieferkettenkollaps und Internetausfall: Unternehmen rechnen mit dem Unwahrscheinlichen
KI als Werkzeug für schnelle, kostengünstige Cyberangriffe
KI beschleunigt Cyberangriffe: IBM X-Force warnt vor wachsenden Schwachstellen in Unternehmen
Whitepaper
Quantifizierung und Sicherheit mit modernster Quantentechnologie
KI-Betrug: Interpol warnt vor industrialisierter Finanzkriminalität – 4,5-fach profitabler
Cloudflare Threat Report 2026: Ransomware beginnt mit dem Login – KI und Botnetze treiben die Industrialisierung von Cyberangriffen
EBA-Folgebericht: Fortschritte bei IKT-Risikoaufsicht unter DORA – weitere Harmonisierung nötig
Böswillige KI-Nutzung erkennen und verhindern: Anthropics neuer Bedrohungsbericht mit Fallstudien
Hamsterrad-Rebell
Sichere Enterprise Browser und Application Delivery für moderne IT-Organisationen
Sicherer Remote-Zugriff (SRA) für Operational Technology (OT) und industrielle Steuerungs- und Produktionssysteme (ICS) – Teil 2
Incident Response Retainer – worauf sollte man achten?
KI‑basierte E‑Mail‑Angriffe: Einfach gestartet, kaum zu stoppen
