فهرست مطالب
دو آسیب‌پذیری امنیتی در افزونه All in One SEO وردپرس که بیش از دو میلیون نصب فعال دارد، افشا شد. هر دو آسیب‌پذیری به مهاجمان غیرمجاز اجازه می‌دهند تا تحت شرایط خاص، کدهای کوتاه دلخواه را اجرا کنند یا اسکریپت‌های مخرب تزریق کنند.
افزونه سئو وردپرس همه کاره
افزونه وردپرس All in One SEO (AIOSEO) یک افزونه محبوب سئو است که توسط بیش از ۲ میلیون کاربر استفاده می‌شود. این افزونه برای مدیریت تنظیمات بهینه‌سازی موتور جستجو در وب‌سایت‌های وردپرس استفاده می‌شود. همچنین ابزارهایی برای مدیریت نقشه‌های سایت XML، داده‌های ساختاریافته، ریدایرکت‌ها، لینک‌های داخلی و بهینه‌سازی محتوا ارائه می‌دهد. این افزونه همچنین شامل ابزارهایی برای نظارت بر رتبه‌بندی جستجو، حسابرسی سئوی وب‌سایت و تولید محتوا با هوش مصنوعی است.
آسیب‌پذیری اجرای کد کوتاه دلخواه احراز هویت نشده CVE-2026-100152
اولین آسیب‌پذیری، با درجه‌بندی ۶.۵ (متوسط)، تمام نسخه‌های AIOSEO تا ۵.۰.۲ را تحت تأثیر قرار می‌دهد. این آسیب‌پذیری به مهاجمان غیرمجاز اجازه می‌دهد تا در صورت برآورده شدن شرایط خاص، کدهای کوتاه دلخواه وردپرس را اجرا کنند.
آنچه این آسیب‌پذیری را نگران‌کننده می‌کند این است که مهاجمان برای سوءاستفاده از آن نیازی به داشتن حساب کاربری در وب‌سایت یا هیچ سطح دسترسی کاربری ندارند.
این آسیب‌پذیری ناشی از عدم بررسی اعتبارسنجی قبل از اجرای تابع do_shortcode وردپرس توسط افزونه است.
کدهای کوتاه (Shortcodes) دستورالعمل‌هایی هستند که به وردپرس می‌گویند عملکردهای خاصی مانند نمایش محتوا یا اجرای یک ویژگی را انجام دهد. تابع do_shortcode این دستورالعمل‌ها را پردازش می‌کند.
ضعف امنیتی این افزونه این است که قبل از اجرای یک کد کوتاه، مقدار را به درستی بررسی نمی‌کند، که این امر باعث می‌شود مهاجم بتواند وب‌سایت را وادار به اجرای کدهای کوتاه دلخواه کند.
طبق گفته‌ی وردفنس:
«این امر به مهاجمان غیرمجاز امکان می‌دهد تا کدهای کوتاه دلخواه خود را اجرا کنند. این امر مستلزم آن است که بردکرامب AIOSEO از طریق بلوک، ویجت، کد کوتاه یا تگ قالب در صفحه نتایج جستجو نمایش داده شود.»
بخش آخر یک محدودیت مهم است زیرا این آسیب‌پذیری برای نمایش در صفحه نتایج جستجوی وردپرس، نیاز به نمایش بردکرامب‌های AIOSEO دارد.
بردکرامب‌ها لینک‌های ناوبری هستند که به بازدیدکنندگان نشان می‌دهند یک صفحه در یک وب‌سایت در کجا قرار دارد. این آسیب‌پذیری می‌تواند زمانی مورد سوءاستفاده قرار گیرد که این بردکرامب‌ها با استفاده از یکی از روش‌های شناسایی‌شده توسط Wordfence در صفحات نتایج جستجو نمایش داده شوند.
این بدان معناست که اگرچه مهاجمان نیازی به ورود به سیستم ندارند، اما آسیب‌پذیری به نحوه‌ی استفاده‌ی وب‌سایت از ویژگی breadcrumb افزونه بستگی دارد.
آسیب‌پذیری XSS احراز هویت نشده با شناسه CVE-2026-85492
آسیب‌پذیری دوم، با درجه‌بندی ۶.۱ (متوسط)، یک آسیب‌پذیری اسکریپت‌نویسی میان‌سایتی (XSS) مبتنی بر DOM است که تمام نسخه‌های تا ۵.۰.۱.۱ و از جمله آن را تحت تأثیر قرار می‌دهد.
این آسیب‌پذیری همچنین شامل مهاجمان غیرمجاز می‌شود، اما بهره‌برداری از آن مستلزم انجام اقدامات خاص توسط یک کاربر مجاز وردپرس است.
این ضعف امنیتی ناشی از عدم پاکسازی کافی ورودی‌ها و فرار خروجی در مدیریت نام مسیر URL است.
پاکسازی ورودی و حذف خروجی، اقدامات امنیتی هستند که برای جلوگیری از برخورد با اطلاعات غیرقابل اعتماد به عنوان کد اجرایی استفاده می‌شوند. در این حالت، فقدان این محافظت‌ها به مهاجمان اجازه می‌دهد تا اسکریپت‌های مخرب را در یک URL ساخته شده خاص وارد کنند.
وردفنس توضیح می‌دهد:
«این امر به مهاجمان غیرمجاز این امکان را می‌دهد که اسکریپت‌های وب دلخواه را در صفحاتی تزریق کنند که هر زمان کاربر از یک URL دستکاری‌شده بازدید می‌کند، اجرا می‌شوند. برای بهره‌برداری از این آسیب‌پذیری، قربانی باید قابلیت aioseo_manage_seo را داشته باشد و پنل پیش‌نمایش سئو را در نوار ابزار مدیریت وردپرس باز کند، در حالی که از صفحه‌ای بازدید می‌کند که یک payload مخرب در نام مسیر URL جاسازی شده است.»
چیزی که سوءاستفاده از این آسیب‌پذیری را دشوارتر می‌کند این است که بازدید از URL مخرب به تنهایی کافی نیست.
کاربر مورد هدف باید قابلیت aioseo_manage_seo را داشته باشد، که یک مجوز وردپرس مرتبط با مدیریت ویژگی‌های سئو است. آن کاربر همچنین باید هنگام بازدید از URL مخرب، پنل پیش‌نمایش سئوی افزونه را از نوار ابزار مدیریت وردپرس باز کند.
XSS مبتنی بر DOM به این معنی است که اسکریپت مخرب در مرورگر وب کاربر اجرا می‌شود. بنابراین، این آسیب‌پذیری به اقدامات یک کاربر با مجوز سئو مورد نیاز بستگی دارد، نه اینکه به مهاجم اجازه دهد اسکریپت را صرفاً با دسترسی به وب‌سایت اجرا کند.
هر دو آسیب‌پذیری وصله شده‌اند
هر دو آسیب‌پذیری در نسخه‌های جداگانه‌ی افزونه‌ی All in One SEO وصله شده‌اند.
CVE-2026-85492
نسخه ۵.۰.۲ آسیب‌پذیری اسکریپت‌نویسی بین‌سایتی را برطرف می‌کند. گزارش تغییرات افزونه، بهبودهای امنیتی را شرح می‌دهد:
«رفع شد: بهبود امنیت و حفاظت از دسترسی در بازبینی‌های سئو، تحلیل سئو و پیش‌نمایش سئو.»
CVE-2026-100152
نسخه ۵.۰.۲.۱ آسیب‌پذیری اجرای کد کوتاه دلخواه را برطرف می‌کند.
گزارش تغییرات، این به‌روزرسانی را شرح می‌دهد:
«رفع شد: بهبود حفاظت‌های امنیتی برای کدهای کوتاه در صفحات جستجو.»
به کاربران افزونه All in One SEO WordPress توصیه می‌شود که برای محافظت در برابر هر دو آسیب‌پذیری، آن را به نسخه ۵.۰.۲.۱ یا یک نسخه وصله‌شده جدیدتر به‌روزرسانی کنند.
منبع : searchenginejournal
