В All in One SEO исправили две уязвимости для атак без авторизации

13 октября 2026 года Search Engine Journal сообщил о двух уязвимостях средней степени серьёзности в плагине All in One SEO (AIOSEO) для WordPress. Обе допускают атаку без учётной записи, но при разных условиях: одна позволяет выполнить произвольный шорткод, другая — внедрить скрипт через специально подготовленный URL. Проблемы уже исправлены; версия 5.0.2.1 закрывает обе.

AIOSEO установлен более чем на двух миллионах сайтов. Плагин помогает управлять SEO-настройками, XML-картами сайта, структурированными данными, редиректами и внутренними ссылками. Поэтому установленная версия важна не только специалисту по поисковой оптимизации: она влияет и на безопасность сайта.

Выполнение шорткодов зависит от хлебных крошек

Уязвимость CVE-2026-100152 получила оценку 6,5 и затрагивает версии AIOSEO до 5.0.2 включительно. Перед вызовом функции WordPress do_shortcode плагин не проверял должным образом переданное значение. Из-за этого атакующий без авторизации мог добиться выполнения произвольного шорткода.

Шорткод — инструкция, с помощью которой WordPress выводит контент или запускает определённую функцию. Сам по себе этот механизм не является уязвимостью. Проблема в том, что AIOSEO допускал выполнение инструкции без необходимой проверки значения. Разница важна: речь идёт о конкретном способе обработки шорткодов, а не обо всех шорткодах на сайте.

У атаки есть обязательное условие: хлебные крошки AIOSEO — навигационные ссылки, показывающие положение страницы на сайте, — должны отображаться на странице результатов поиска WordPress. Их можно вывести блоком, виджетом, шорткодом или через шаблон. Если такой вывод не настроен, описанный сценарий не сработает. Отсутствие требования к авторизации при этом остаётся существенным для сайтов, где условие выполняется.

Исправление вошло в версию 5.0.2.1. Согласно описанию обновления, разработчики усилили защиту шорткодов на страницах поиска.

Для XSS нужен пользователь с правом управления SEO

Вторая уязвимость, CVE-2026-85492, получила оценку 6,1. Это DOM-based XSS: вредоносный скрипт может выполниться в браузере пользователя. Она затрагивает версии AIOSEO до 5.0.1.1 включительно; исправление вышло в 5.0.2.

Причина связана с обработкой пути URL: входные данные недостаточно очищались, а вывод недостаточно экранировался. Атакующий без учётной записи мог подготовить адрес с вредоносным кодом. Но перехода по этому адресу недостаточно для выполнения скрипта в описанном сценарии.

Пользователь WordPress должен обладать правом aioseo_manage_seo и, находясь на странице с вредоносным путём в URL, открыть панель SEO Preview из административной панели WordPress. Иными словами, атака зависит от действий человека, которому доступно управление SEO-функциями. Это не сценарий, при котором скрипт выполняется в браузере любого посетителя, просто открывшего ссылку.

Что проверить на сайте

Владельцу сайта или разработчику нужно проверить установленную версию AIOSEO и обновить плагин до 5.0.2.1 либо более новой исправленной версии. Выпуск 5.0.2 закрывает XSS, но ещё не устраняет возможность выполнения шорткодов. Разделение исправлений по двум релизам легко упустить, если ориентироваться только на сообщение о первом обновлении.

После этого полезно посмотреть, выводятся ли хлебные крошки AIOSEO на странице результатов поиска. Это помогает оценить применимость первого сценария к конкретному сайту, но не заменяет обновление. Для второго сценария имеет значение, у кого есть право aioseo_manage_seo: одного подготовленного URL для атаки недостаточно.

Маркетологу, который работает с SEO Preview, не нужно разбираться в реализации do_shortcode или DOM-based XSS. Если обновлениями занимается отдельный специалист, ему достаточно передать задачу на проверку плагина и номера обеих CVE. Похожий вопрос распределения ответственности возникает и при обновлениях безопасности самого WordPress.

Моё мнение: условия атаки не повод откладывать обновление

На мой взгляд, ограничения здесь легко принять за повод ничего не делать. Да, для одной атаки нужны хлебные крошки на странице поиска, а для другой — действие пользователя с SEO-правами. Но полагаться на то, что подходящий сценарий никогда не сложится, я бы не стал.

Я бы заодно уточнил, кто отвечает за обновления плагинов на конкретном сайте. Это не новая функция и не ещё один экран, зато меньше ручной неопределённости: понятно, кто проверяет установленный выпуск и когда задача закрыта.

Источники

Откуда новость. Текст — пересказ своими словами, факты — из источника, мнение — автора.

1. All In One SEO WordPress Plugin Vulnerable To Two Exploits via @sejournal, @martinibuster www.searchenginejournal.com

Об авторе

Гиорги М.

опытный e-commerce-разработчик

Разрабатываю магазины и интеграции с учётными системами. Люблю задачи, где можно убрать ручную работу у владельца, а не просто добавить ещё один экран.

Все публикации автора