CVE-2025-12841Bookit WordPress插件2.5.1之前版本存在一个严重的安全漏洞。该插件的REST API端点缺少适当的访问控制机制，导致任何未认证用户都可以通过公开的REST接口修改插件的Stripe支付配置。这意味着攻击者可以将支付接收账户更改为自己控制的Stripe账户，从而窃取本应支付给网站所有者的款项。由于该端点无需任何认证即可访问，攻击者可以轻松利用此漏洞进行财务欺诈。此漏洞影响所有使用该插件且未及时更新的WordPress网站。
该漏洞源于Bookit插件的REST API端点设计缺陷。插件注册了一个REST路由用于处理Stripe支付配置更新，但未实施适当的权限检查。端点缺少nonce验证、会话检查或任何形式的用户身份验证。攻击者可以直接向REST端点发送POST请求，携带修改后的Stripe配置参数（如stripe_account_id、stripe_publishable_key等），服务器会直接接受并保存这些配置。由于WordPress REST API默认允许访问此类端点，攻击者无需任何身份凭证即可完成操作。