CVE-2026-19856
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka All in One SEO dla WordPressa w wersji przed 5.0.2.1 nieprawidłowo określa, które shortcode'y występują w treści pochodzącej od użytkownika, przed decyzją o ich usunięciu. Umożliwia to nieuwierzytelnionym użytkownikom wykonanie dowolnych shortcode'ów zarejestrowanych w witrynie, a w przypadku witryn zaktualizowanych ze starszych wersji ochrona jest całkowicie wyłączona.
Ocena ryzyka
Atakujący bez logowania może wykonać dowolne shortcode'y zarejestrowane w witrynie, co może prowadzić do ujawnienia danych lub wykonania niepożądanych akcji. Witryny zaktualizowane ze starszych wersji są narażone bez konieczności dostarczania specjalnie spreparowanego wejścia.
Rekomendacja
Zaktualizuj wtyczkę All in One SEO do wersji 5.0.2.1 lub nowszej. Po aktualizacji zweryfikuj, czy ochrona shortcode'ów działa poprawnie, szczególnie w witrynach migrowanych ze starszych wersji.
Inne podatności w All in One SEO
Zobacz wszystkie- CVE-2026-100152Średnie
Wtyczka All in One SEO dla WordPressa jest podatna na wykonanie dowolnego shortcode we wszystkich wersjach do 5.0.2 włącznie. Nieuwierzytelniony atakujący może wykonać dowolne shortcode'y, co wymaga renderowania breadcrumb AIOSEO na stronie wyników wyszukiwania.
- CVE-2026-85492Średnie
Wtyczka All in One SEO dla WordPressa do wersji 5.0.1.1 włącznie jest podatna na DOM-Based Cross-Site Scripting przez URL Pathname. Brak odpowiedniej sanityzacji wejścia i escapingu wyjścia umożliwia nieuwierzytelnionym atakującym wstrzyknięcie skryptów. Wykorzystanie wymaga, aby ofiara miała uprawnienia aioseo_manage_seo i otworzyła panel podglądu SEO.
- CVE-2026-10755Niskie
Wtyczka All in One SEO dla WordPressa przed wersją 4.9.9 nieprawidłowo ogranicza dostęp do niektórych endpointów REST API integracji AI, umożliwiając użytkownikom z niskimi uprawnieniami (np. Współautorom) nadpisanie lub zresetowanie stanu integracji AI na poziomie całej witryny.
- CVE-2026-5075Średnie
Wtyczka All in One SEO dla WordPressa do wersji 4.9.7 włącznie ujawnia wrażliwe dane wewnętrznych opcji poprzez dane skryptu 'internalOptions' przekazywane do wp_localize_script() w kontekście edytora postów. Brak skutecznego maskowania dla użytkowników z niskimi uprawnieniami pozwala uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym na podgląd skonfigurowanych tokenów API/OAuth oraz wartości związanych z licencją ze źródła strony.
- CVE-2025-12847Średnie
Wtyczka All in One SEO – Powerful SEO Plugin to Boost SEO Rankings & Increase Traffic dla WordPressa jest podatna na nieautoryzowane usuwanie dowolnych załączników multimedialnych z powodu braku sprawdzenia autoryzacji w wersjach do 4.8.9 włącznie. Endpoint REST API `/wp-json/aioseo/v1/ai/image-generator` weryfikuje tylko, czy użytkownik ma uprawnienie `edit_posts` (Contributor i wyżej), bez sprawdzania, czy użytkownik jest właścicielem lub ma uprawnienia do usuwania konkretnych załączników. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym trwałe usuwanie dowolnych załączników po ID przez REST API, o ile znają prawidłowe ID załączników.
Oryginalny opis (angielski, źródło NVD)
The All in One SEO WordPress plugin before 5.0.2.1 does not correctly determine which shortcodes are present in content derived from user input before deciding which ones to strip, allowing unauthenticated users to execute arbitrary shortcodes registered on the site. On sites upgraded from older versions the protection is disabled outright, making the issue reachable without any crafted input.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS