Se detectó una vulnerabilidad crítica en el plugin Service Finder Bookings para WordPress, utilizado en sitios con el tema «Service Finder – Directory and Job Board», que permite a atacantes no autenticados escalar privilegios y obtener acceso administrativo. Por otro lado, Vikinger, un tema premium desarrollado por Odin_Design, facilita la creación de comunidades sociales y gamificadas mediante la integración con BuddyPress y GamiPress, destacándose por ofrecer experiencias de usuario interactivas y personalizadas dentro del ecosistema WordPress.
- CVE-2025-2470 (CVSS 9.8): La vulnerabilidad reside en la función nsl_registration_store_extra_input del plugin Service Finder Bookings, la cual carece de restricciones adecuadas sobre los roles de usuario asignados durante el proceso de registro mediante inicio de sesión social. Un atacante no autenticado puede aprovechar esta falla para registrar una cuenta con privilegios arbitrarios, incluyendo el rol de administrador, siempre que el plugin Nextend Social Login esté instalado y configurado en el sitio.
- CVE-2025-2238 (CVSS 8.8): Se ha identificado una vulnerabilidad crítica en el tema Vikinger para WordPress, que afecta a todas las versiones hasta la 1.9.30 inclusive. La falla se encuentra en la función AJAX vikinger_user_meta_update_ajax, la cual carece de restricciones adecuadas sobre los metadatos de usuario. Esto permite que atacantes autenticados con permisos de suscriptor o superiores puedan escalar sus privilegios hasta nivel de administrador, comprometiendo así la seguridad del sitio.
Productos y versiones afectadas:
| Producto | Versiones afectadas | Solución |
| Plugin Service Finder Bookings | Versiones hasta la 5.1 inclusive. Requiere que el plugin Nextend Social Login esté instalado y configurado. | Actualizar el plugin Service Finder Bookings a una versión corregida cuando esté disponible. Como medida temporal, desactivar o eliminar el plugin Nextend Social Login hasta que se publique una actualización que corrija la vulnerabilidad. |
| Kubio AI Page Builder | Versiones anteriores a 1.9.30 inclusive. | Actualizar a la versión 1.9.31 o superior. |
Recomendaciones:
- Mantener todos los plugins y temas de WordPress actualizados a sus últimas versiones estables.
- Implementar reglas de firewall que restrinjan el acceso no autorizado a los archivos sensibles del servidor.
- Supervisar el sitio web en busca de actividades sospechosas o accesos no autorizados.
- Realizar copias de seguridad regulares de la base de datos y del contenido del sitio.
Referencias:
.