一个严重的安全漏洞， CVE-2025-5947，已在 服务查找器预订 插件，与流行的 WordPress 主题捆绑在一起 服务查找器。此漏洞允许未经身份验证的攻击者以任何用户身份（包括管理员）登录，而无需有效凭据。
该漏洞有一个 CVSS评分为9.8 并且已被广泛利用。使用此插件的网站必须立即采取措施，保护其环境，防止未经授权的访问。
了解 CVE-2025-5947
这 WordPress 服务查找器漏洞 CVE-2025-5947 影响所有版本的 服务查找器预订 插件最多 版本 6.0该漏洞源于插件账户切换功能中对用户 Cookie 的验证不当。攻击者可以操纵 Cookie 值来冒充任何用户，无需身份验证即可获得完全的管理访问权限。
根据 Wordfence漏洞数据库， 超过 13,800次漏洞利用尝试 自 2025 年 8 月初以来，已检测到针对尚未应用补丁的 WordPress 网站的攻击。
插件开发者发布了一个修复版本（6.1） 在 2025年7月17日，彻底解决了该漏洞。所有之前的版本仍然存在漏洞。
漏洞利用机制
该插件包含一个帐户切换功能，该功能使用 Cookie 在用户帐户之间临时切换。由于缺少验证，攻击者可以构造一个模拟合法会话的恶意 Cookie。这使得他们无需提供有效凭证即可访问管理仪表板。
常见的攻击者行为包括：
上传恶意 PHP 文件或 webshell
安装恶意插件或主题
将用户重定向到钓鱼网站或恶意软件托管网站
创建新的管理员帐户以实现持久访问
泄露敏感数据或客户信息
这种漏洞特别危险，因为它完全绕过身份验证，在标准登录日志中几乎不留下任何痕迹。
受影响的版本
易受伤害的： 服务查找器预订版本 6.0 及以下
固定的： 版本 6.1 及更高版本
运行旧版本的网站应立即更新或禁用该插件，直到应用补丁为止。
建议网站所有者采取的措施
运行 Service Finder 主题的网站所有者应采取以下步骤来缓解 CVE-2025-5947:
更新 到版本 6.1 或更高版本 立即地
查看所有管理员帐户 并删除所有未知用户
更改所有管理员密码 并使活动会话无效
扫描可疑的 PHP 文件，尤其是在
/wp-content/uploads/使用恶意软件扫描程序 像 Sucuri 或 MalCare 一样检测后门
启用 Web 应用程序防火墙 (WAF) 防止进一步的剥削
监控访问日志 查找异常登录活动，尤其是来自未知 IP 的登录活动
如果检测到任何损害，请从干净的备份恢复站点并重置所有凭据。
您的网站可能受到威胁的迹象
潜在指标包括：
用户列表中出现未知管理员帐户
未经授权的重定向或网站内容的更改
新的 PHP 文件已添加到主题或上传目录
突然出现性能问题或异常网络活动
早期检测可以防止更大规模的破坏或数据泄露。
此漏洞为何重要
Service Finder 主题被广泛使用 小型企业、预订机构和服务提供商 全球范围内。它的流行使其成为攻击者大规模入侵 WordPress 网站的首要目标。成功利用此漏洞可能导致 数据被盗、服务中断、品牌声誉受损.
维护 WordPress 安全需要 定期更新、主动漏洞监控和自动补丁管理，尤其是对于依赖在线业务的企业而言。
WordPress 托管服务商 QUAPE
在 QUAPE，我们提供 托管 WordPress 主机 保护并优化您的网站。我们的团队监控以下漏洞 CVE-2025-5947，主动应用补丁，并确保您的网站保持受保护和最新状态。
我们的托管 WordPress 服务包括：
WordPress 核心、主题和插件的自动更新
实时恶意软件防护和监控
每日备份和快速恢复支持
Web应用程序防火墙和入侵防御
性能优化和正常运行时间监控
专门的专家支持
与……合作 QUAPE 确保您的 WordPress 网站免受重大威胁的侵害，同时保持最佳性能。了解更多信息，请访问 quape.com.
- AI Infrastructure Security, A Complete Guide for Engineers - 7 月 16, 2026
- Cloudflare 控制面板宕机，工作节点和数据中心出现问题 2025年12月5日 - 2025 年 12 月 5 日
- Cloudflare 服务中断？2025 年 11 月事件 - 2025 年 11 月 18 日
