ثغرتان في إضافة All in One SEO وتحديثهما

نقل Roger Montti في Search Engine Journal بتاريخ 12 أكتوبر 2026 أن ثغرتين أمنيتين أُعلنتا في إضافة All in One SEO (AIOSEO) لـ WordPress، وقدّر عدد تثبيتاتها النشطة بأكثر من مليونين.

جلبنا سجلي CVE للثغرتين من واجهة CIRCL CVE API، وجهة الإسناد في كل منهما Wordfence. والأرقام أدناه من هذين السجلين ومن سجل تغييرات الإضافة في WordPress.org.

وأعادت صفحات Wordfence نفسها فحص بوت عند طلبها، فلم نقرأ تلك الصفحات.

ما CVE-2026-100152؟#

ثغرة تنفيذ shortcode عشوائي بلا مصادقة. يقول سجل Wordfence إن كل الإصدارات حتى 5.0.2 ضمنًا متأثرة، ويمنحها 6.5، أي متوسطة. والسبب بحسب السجل أن الإضافة لا تتحقق كما يجب من قيمة قبل تشغيل do_shortcode.

ويضيف السجل شرطًا: يجب أن يظهر مسار التنقل في الإضافة داخل صفحة نتائج البحث، عبر الكتلة أو الودجت أو shortcode أو دالة القالب. ويلاحظ Montti أن التعرض يتوقف على طريقة استخدام الموقع لمسار التنقل رغم أن الدخول غير مطلوب.

فإن كنت تعرض ترميز مسار التنقل من الإضافة في قالب البحث، فأنت الحالة التي يصفها السجل.

ما CVE-2026-85492؟#

ثغرة XSS من نوع DOM-based تُبلغ عبر مسار الرابط. يذكر السجل الإصدارات حتى 5.0.1.1 ضمنًا ويمنحها 6.1، وهي متوسطة أيضًا. وسببها بحسب السجل نقص تنقية المدخلات وهروب المخرجات.

والاستغلال أضيق: على الضحية أن تكون له الصلاحية aioseo_manage_seo وأن يفتح لوحة SEO Preview في شريط الإدارة أثناء زيارته صفحة برابط مصنوع. ويشير Montti إلى أن زيارة الرابط وحدها لا تكفي.

أي إصدار يعالجهما؟#

سجلا Wordfence يذكران النطاقات المتأثرة لا الإصدار المعالج. والإصدارات المعالجة من سجل تغييرات الإضافة في WordPress.org، وينقله Montti أيضًا:

• الإصدار 5.0.2: يذكر تحسين الحماية وحقوق الوصول في SEO Revisions وSEO Analysis وSEO Preview، وإليه يشير مرجع التغيير في سجل ثغرة السكربت.
• الإصدار 5.0.2.1: يذكر تحسين الحماية لـ shortcode في صفحات البحث، وهو معالجة ثغرة shortcode.

فموقع على 5.0.2 فيه معالجة ثغرة السكربت دون معالجة ثغرة shortcode. وأدرج دليل الإضافات 5.0.3 أحدث إصدار عند فحصنا بتاريخ 7 أكتوبر 2026، فأي تثبيت حديث تجاوزهما.

ماذا يفعل أصحاب المواقع؟#

حدّث الإضافة إلى 5.0.2.1 أو أحدث، وهذه توصية Montti أيضًا. افتح الإضافات في لوحة WordPress، وتأكد من إصدار AIOSEO، وحدّث إن ظهر 5.0.2 أو أقدم.

ولا يصف أي من السجلين هجمات فعلية، والثغرتان تحتاجان شروطًا لا تتوفر في مواقع كثيرة: مسار تنقل في قالب البحث للأولى، ومستخدم ذو صلاحية يفتح المعاينة على رابط مصنوع للثانية. فهذا سبب للتحديث ضمن جدولك المعتاد هذا الأسبوع، لا سبب للهلع.

وللسياق الأوسع تجد SEO التقني.