Una vulnerabilità critica identificata come CVE-2025-5947 sta mettendo a serio rischio i siti WordPress che utilizzano il tema Service Finder. Questa falla di sicurezza, valutata con un punteggio CVSS di 9.8, permette agli attaccanti di bypassare il sistema di autenticazione e ottenere accesso non autorizzato a qualsiasi account del sito, compresi quelli con privilegi di amministratore. Il problema risiede nel plugin Service Finder Bookings, fornito insieme al tema, che non valida adeguatamente il valore del cookie dell’utente durante la funzione di cambio account, chiamata service_finder_switch_back(). In questo modo, un malintenzionato può autenticarsi come qualsiasi utente e prendere il controllo completo del sito vulnerabile.

Dettagli sulla vulnerabilità e diffusione

La vulnerabilità interessa tutte le versioni del tema Service Finder fino alla 6.0 inclusa. Il bug è stato corretto dagli sviluppatori con la versione 6.1, rilasciata il 17 luglio 2025. Il tema risulta essere piuttosto diffuso, essendo stato acquistato da oltre 6.100 clienti attraverso la piattaforma Envato Market. La società di sicurezza Wordfence ha registrato attività di sfruttamento di questa vulnerabilità a partire dal 1 agosto 2025, con oltre 13.800 tentativi di attacco individuati. Tuttavia, non è ancora chiaro quale sia il tasso di successo effettivo di questi attacchi.

Modalità di attacco e raccomandazioni

Gli attaccanti sfruttano questa falla inserendo codice malevolo che può reindirizzare i visitatori verso siti fraudolenti o consentire l’hosting di malware direttamente sul sito compromesso. Gli amministratori di siti WordPress che utilizzano il tema Service Finder sono fortemente invitati a verificare la presenza di attività sospette e ad aggiornare immediatamente il plugin e il tema all’ultima versione disponibile per mitigare il rischio di compromissione.

Indirizzi IP coinvolti e misure di sicurezza

Sono stati identificati anche alcuni indirizzi IP coinvolti negli attacchi, tra cui 5.189.221.98, 185.109.21.157, 192.121.16.196, 194.68.32.71 e 178.125.204.198. Questi dettagli aiutano i responsabili della sicurezza a monitorare e bloccare eventuali tentativi di accesso fraudolento. Mantenere aggiornati tutti i plugin e i temi, effettuare controlli periodici e adottare policy di sicurezza robuste è fondamentale per proteggere i siti WordPress da vulnerabilità come questa.