Lỗ hổng cho phép tin tặc bỏ qua xác thực trong WordPress Service Finder Theme

[Starlink]

Kẻ tấn công đang tích cực khai thác lỗ hổng bảo mật nghiêm trọng ảnh hưởng đến giao diện WordPress Service Finder, cho phép truy cập trái phép vào bất kỳ tài khoản nào, bao gồm cả tài khoản quản trị viên, và kiểm soát các trang web dễ bị tấn công.

Lỗ hổng bỏ qua xác thực, được theo dõi với mã hiệu CVE-2025-5947 (điểm CVSS: 9,8), ảnh hưởng đến Service Finder Bookings, một plugin WordPress được tích hợp sẵn trong giao diện Service Finder. Lỗ hổng này được phát hiện bởi một nhà nghiên cứu có biệt danh Foxyyy.

Nhà nghiên cứu István Márton của Wordfence cho biết : "Lỗ hổng bảo mật này cho phép kẻ tấn công chưa xác thực có thể truy cập vào bất kỳ tài khoản nào trên trang web, bao gồm cả những tài khoản có vai trò 'quản trị viên'".

Vấn đề cốt lõi ở đây là trường hợp leo thang đặc quyền bắt nguồn từ việc bỏ qua xác thực do plugin không xác thực đầy đủ giá trị cookie của người dùng trước khi đăng nhập thông qua hàm chuyển đổi tài khoản (service_finder_switch_back()).

Do đó, kẻ tấn công chưa xác thực có thể lợi dụng hành vi này để đăng nhập vào trang web với tư cách là bất kỳ người dùng nào, bao gồm cả quản trị viên, chiếm đoạt trang web và sử dụng cho mục đích xấu, chẳng hạn như chèn mã độc để chuyển hướng người dùng đến các trang web giả mạo hoặc sử dụng trang web đó để lưu trữ phần mềm độc hại.

Lỗi này ảnh hưởng đến tất cả các phiên bản trước và bao gồm cả phiên bản 6.0. Lỗi này đã được nhóm bảo trì plugin khắc phục vào ngày 17 tháng 7 năm 2025, với việc phát hành phiên bản 6.1. Theo dữ liệu từ Envato Market, theme này đã được bán cho hơn 6.100 khách hàng.

Công ty bảo mật WordPress cho biết họ đã phát hiện hoạt động khai thác nhắm vào CVE-2025-5947 kể từ ngày 1 tháng 8 năm 2025, với hơn 13.800 lần tấn công cho đến nay. Tuy nhiên, tỷ lệ thành công của những nỗ lực này hiện vẫn chưa rõ ràng.

Các địa chỉ IP sau đây đã được phát hiện nhắm mục tiêu vào chức năng chuyển đổi tài khoản của plugin Service Finder Bookings:

    5.189.221.98
    185.109.21.157
    192.121.16.196
    194.68.32.71
    178.125.204.198

Người quản trị được khuyến nghị kiểm tra trang web của mình để tìm bất kỳ dấu hiệu hoạt động đáng ngờ nào và đảm bảo tất cả plugin và chủ đề đều đang chạy phiên bản mới nhất.