CVE-2026-5075
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Wtyczka All in One SEO dla WordPressa do wersji 4.9.7 włącznie ujawnia wrażliwe dane wewnętrznych opcji poprzez dane skryptu 'internalOptions' przekazywane do wp_localize_script() w kontekście edytora postów. Brak skutecznego maskowania dla użytkowników z niskimi uprawnieniami pozwala uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym na podgląd skonfigurowanych tokenów API/OAuth oraz wartości związanych z licencją ze źródła strony.
Ocena ryzyka
Organizacja ryzykuje wyciekiem poufnych tokenów API i kluczy licencyjnych, co może prowadzić do nieautoryzowanego dostępu do zewnętrznych usług lub naruszenia warunków licencji.
Rekomendacja
Należy zaktualizować wtyczkę All in One SEO do najnowszej dostępnej wersji, która zawiera poprawkę maskującą wrażliwe dane.
Oryginalny opis (angielski, źródło NVD)
The All in One SEO plugin for WordPress is vulnerable to Sensitive Information Exposure via 'internalOptions' localized script data in versions up to, and including, 4.9.7 due to sensitive internal option data being passed to wp_localize_script() in post editor contexts without effective masking for low-privilege users. This makes it possible for authenticated attackers, with contributor-level access and above, to view configured API/OAuth tokens and license-related values from page source.