Recent divulgações revelaram duas vulnerabilidades de segurança no plugin All in One SEO para WordPress, que conta com mais de dois milhões de instalações ativas. As falhas permitem que atacantes não autenticados executem códigos curtos arbitrários ou injete scripts maliciosos, dependendo de condições específicas.
Vulnerabilidades no Plugin All in One SEO
O plugin All in One SEO (AIOSEO) é amplamente utilizado para gerenciar configurações de otimização para mecanismos de busca em sites WordPress. Além disso, oferece ferramentas para gerenciar sitemaps XML, dados estruturados, redirecionamentos, links internos e otimização de conteúdo, além de monitoração de classificações de busca e auditoria de SEO.
Execução Arbitrária de Shortcodes (CVE-2026-100152)
A primeira vulnerabilidade apresenta uma classificação de 6.5 (média) e afeta todas as versões do AIOSEO até a 5.0.2. Ela possibilita que atacantes não autenticados executem shortcodes do WordPress quando certas condições são atendidas. O que agrava essa situação é que os atacantes não precisam ter uma conta ou qualquer nível de privilégios para explorar essa falha.
A vulnerabilidade surge da ausência de uma verificação de validação antes que o plugin execute a função `do_shortcode` do WordPress, o que permite que um ataque cause a execução de códigos curtos arbitrários.
Conforme observado por especialistas da Wordfence, essa vulnerabilidade depende da visualização de “breadcrumbs” do AIOSEO (navegação por links que mostram a localização de uma página) nas páginas de resultados de busca, utilizando um bloco, widget, shortcode ou tag de template.
Vulnerabilidade XSS Não Autenticada (CVE-2026-85492)
A segunda vulnerabilidade, classificada como 6.1 (média), envolve um ataque de Cross-Site Scripting (XSS) baseado em DOM, afetando todas as versões até a 5.0.1.1. Embora também permita a exploração por atacantes não autenticados, essa vulnerabilidade requer que um usuário autorizado do WordPress tome ações específicas.
A falha ocorre devido à falta de sanitização adequada de entradas e escape de saídas no manuseio de um caminho de URL. Essa deficiência permite que atacantes insiram scripts maliciosos em um URL construído especialmente. Segundo a Wordfence, isso possibilita que atacantes injetem scripts na página sempre que um usuário visita um URL malicioso.
Contudo, essa vulnerabilidade é mais difícil de explorar, pois exige que o usuário alvo tenha a permissão `aioseo_manage_seo`, que está relacionada à gestão de funções de SEO, e que abra o painel de visualização de SEO do plugin enquanto visita a URL maliciosa.
Patches Disponíveis para as Vulnerabilidades
Ambas as vulnerabilidades foram corrigidas em versões separadas do plugin All in One SEO. A versão 5.0.2 resolve a vulnerabilidade de XSS, enquanto a versão 5.0.2.1 corrige a execução de shortcode arbitrário. Os changelogs das atualizações indicam que melhorias na segurança e proteções de acesso foram implementadas.
Usuários do plugin AIOSEO são fortemente recomendados a atualizar para a versão 5.0.2.1 ou uma versão mais recente que já tenha aplicado a correção para se proteger contra essas vulnerabilidades.
