Falha crítica em plugin WordPress permite acesso total sem login

há 4 dias 3

ANUNCIE AQUI

Uma falha crítica de autenticação (CVE-2025-5947) no plugin Service Finder Bookings para WordPress está sendo ativamente explorada, permitindo que qualquer atacante não autenticado acesse o painel como administrador. O bug recebeu pontuação CVSS de 9,8, e mais de 13.800 tentativas de exploração já foram detectadas desde o início de agosto.

O problema afeta todas as versões do tema até a 6.0 e decorre de uma verificação inadequada no recurso de troca de contas, que permite o uso de cookies falsos para se autenticar como outro usuário. Dessa forma, invasores podem contornar a tela de login, obter controle total do site e injetar código malicioso ou redirecionar visitantes para páginas fraudulentas.

A vulnerabilidade foi descoberta pelo pesquisador Foxyyy e reportada ao programa de recompensas do Wordfence, que coordenou a divulgação e confirmou que os ataques começaram pouco após a publicação do patch em 17 de julho de 2025. O fornecedor lançou a versão 6.1, que corrige o problema.

Administradores de sites devem atualizar imediatamente o plugin e o tema para a versão 6.1 ou superior. Embora firewalls de segurança, como o do Wordfence, consigam bloquear parte das tentativas com cookies forjados, a atualização continua sendo a única medida totalmente eficaz para eliminar o risco.

Ler artigo completo