Kritische Sicherheitslücke im Service Finder Bookings-Plugin: Ungepatchte Rechteausweitung entdeckt

Sicherheitsforscher haben eine bislang ungepatchte Schwachstelle im Service Finder Bookings-Plugin identifiziert, die Angreifern eine nicht authentifizierte Rechteausweitung ermöglicht. Nutzer des Plugins sollten daher dringend Vorsichtsmaßnahmen ergreifen: Solange kein Sicherheitsupdate verfügbar ist, wird empfohlen, das Plugin zu deaktivieren und von der Website zu entfernen.

Über das Service Finder Bookings-Plugin

Das Plugin ist ein erforderliches Plugin, das im Premium-Theme Service Finder enthalten ist, das über 6.000 Mal verkauft wurde. Das Theme ist ein Verzeichnis- und Jobbörsen-WordPress-Theme, und das Plugin selbst übernimmt den gesamten damit verbundenen Buchungsprozess für den Service Finder.

Die Sicherheitslücke

In den Versionen 6.1 (aktuellste) und darunter ist das Plugin anfällig für eine Privilegieneskalation, die es jedem nicht authentifizierten Angreifer ermöglicht, seine Berechtigungen auf Administratorrechte zu erweitern oder sich sogar als beliebiger Benutzer auf der Website anzumelden. Für diese Sicherheitslücke gibt es derzeit keine gepatchte Version. Sie wird unter der Nummer CVE-2025-23970 geführt.

Der Patch

Zum Zeitpunkt der Veröffentlichung dieses Artikels war uns keine gepatchte Version bekannt.

Es ist notwendig, bei der Handhabung von Sitzungen und Authentifizierungs-Cookies äußerste Vorsicht walten zu lassen. Bei der Zuweisung von Benutzersitzungen sollten ordnungsgemäße Authentifizierungs-/Autorisierungsprüfungen durchgeführt werden.

Zeitplan

31. Mai 2025 Wir haben den Sicherheitsbericht erhalten und den Anbieter benachrichtigt.

2. Juni 2025 Wir haben den Anbieter über die Sicherheitslücke informiert.

3. Juli 2025 Wir haben den Eintrag zur Sicherheitslücke in der Pachstack-Datenbank veröffentlicht (keine Antwort vom Anbieter).

3. September 2025 Veröffentlichung des Artikels mit Sicherheitshinweisen

Hier gibt’s noch mehr dazu

---

Bild/Quelle: https://depositphotos.com/de/home.html

Folgen Sie uns auf X

Folgen Sie uns auf Bluesky