Podatności All in One SEO

Wtyczka All in One SEO dla WordPressa przed wersją 4.9.9 nieprawidłowo ogranicza dostęp do niektórych endpointów REST API integracji AI, umożliwiając użytkownikom z niskimi uprawnieniami (np. Współautorom) nadpisanie lub zresetowanie stanu integracji AI na poziomie całej witryny.

Wtyczka All in One SEO dla WordPressa do wersji 4.9.7 włącznie ujawnia wrażliwe dane wewnętrznych opcji poprzez dane skryptu 'internalOptions' przekazywane do wp_localize_script() w kontekście edytora postów. Brak skutecznego maskowania dla użytkowników z niskimi uprawnieniami pozwala uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym na podgląd skonfigurowanych tokenów API/OAuth oraz wartości związanych z licencją ze źródła strony.

Wtyczka All in One SEO – Powerful SEO Plugin to Boost SEO Rankings & Increase Traffic dla WordPressa jest podatna na nieautoryzowane usuwanie dowolnych załączników multimedialnych z powodu braku sprawdzenia autoryzacji w wersjach do 4.8.9 włącznie. Endpoint REST API `/wp-json/aioseo/v1/ai/image-generator` weryfikuje tylko, czy użytkownik ma uprawnienie `edit_posts` (Contributor i wyżej), bez sprawdzania, czy użytkownik jest właścicielem lub ma uprawnienia do usuwania konkretnych załączników. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym trwałe usuwanie dowolnych załączników po ID przez REST API, o ile znają prawidłowe ID załączników.