Bypass de Autenticación y Escalada de Privilegios en Plugin de WordPress
Resumen
El Equipo de Respuesta a Incidentes de Seguridad Informática de la Universidad Católica "Nuestra Señora de la Asunción" (CSIRT-UC) emite una alerta de seguridad crítica. Se ha descubierto una vulnerabilidad de Autenticación Bypass y Escalada de Privilegios en el popular plugin de WordPress Service Finder Bookings.
Esta falla permite que un actor malicioso, sin necesidad de credenciales previas, eluda los mecanismos de seguridad y obtenga privilegios de administrador en el sitio web afectado. El riesgo es máximo, pues podría llevar a la instalación de backdoors, la exfiltración de datos o la destrucción total del sitio web.
Detalles de la Vulnerabilidad
La vulnerabilidad reside en una función diseñada para la gestión de usuarios que no valida correctamente una cookie, permitiendo la suplantación de identidad.
| Atributo | Detalle |
| Identificador CVE | CVE-2025-5947 |
| Puntuación CVSS v3.1 | 9.8 (CRÍTICA) |
| Tipo de Falla | Elusión de Autenticación y Escalada de Privilegios. |
| Módulo Afectado | Función servicefinderswitchback() dentro del plugin. |
| Mecanismo | La manipulación de la cookie originaluserid sin validación permite al atacante suplantar cualquier cuenta, incluida la del Administrador (ID 1). |
| Impacto Potencial | Control total del sitio web, instalación de malware, robo de información, compromiso de la base de datos. |
Productos Afectados
- Plugin Service Finder Bookings: Todas las versiones hasta la 6.0 (inclusive).
Recomendación
El CSIRT-UC insta a TODOS los usuarios que tengan instalado el plugin Service Finder Bookings en sus sitios de WordPress a tomar las siguientes medidas con URGENCIA MÁXIMA:
- Actualizar Inmediatamente: Instale la última versión disponible del plugin a través del panel de administración de WordPress. El desarrollador ha publicado una versión que corrige esta falla.
- Verificación Post-Parcheo: Tras la actualización, verifique los registros de acceso del sitio en busca de actividad inusual, especialmente cuentas recién creadas o inicios de sesión de administradores desconocidos, ya que el ataque podría haber ocurrido antes de la aplicación del parche.
- Desactivación (Temporal): Si por alguna razón técnica la actualización no es posible de inmediato, desactive el plugin temporalmente hasta que se pueda aplicar el parche, asumiendo la interrupción del servicio de reservas.
Advertencia: Dada la puntuación CVSS de 9.8, la explotación de esta vulnerabilidad es trivial y puede ser automatizada. No demore la actualización.
Referencias Oficiales
- Detalle del CVE (CVE-2025-5947):https://www.cve.org/CVERecord?id=CVE-2025-5947
- Wordfence Threat Intelligence:https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/sf-booking/service-finder-bookings-60-authentication-bypass-via-user-switch-cookie
CSIRT-UC