---
title: "ثغرتان في إضافة All in One SEO وتحديثهما"
url: https://surfil.com/ar/news/all-in-one-seo-plugin-two-vulnerabilities
section: news
language: ar
published: 2026-10-12T00:00:00.000Z
modified: 2026-10-12T00:00:00.000Z
author: Adam Hafez
topics: ["SEO التقني"]
---

# ثغرتان في إضافة All in One SEO وتحديثهما

## الإجابة المختصرة

عالجت إضافة All in One SEO لـ WordPress ثغرتين، إحداهما تنفيذ shortcode والأخرى حقن سكربت، في الإصدار 5.0.2.1 بحسب سجل تغييرات الإضافة. وصنّفتهما Wordfence متوسطتين، ولكل منهما شروط محددة كي تعمل، وتحتاج إحداهما إلى مستخدم ذي صلاحية. على أصحاب المواقع التحديث إلى 5.0.2.1 أو أحدث.

## أهم النقاط

- تتيح CVE-2026-100152 لزائر بلا حساب تشغيل shortcode عشوائي في كل الإصدارات حتى 5.0.2 ضمنًا، لكن حين يظهر مسار التنقل في صفحة نتائج البحث فقط.
- CVE-2026-85492 ثغرة XSS من نوع DOM-based في الإصدارات حتى 5.0.1.1 ضمنًا، وتشترط أن يفتح مستخدم يملك الصلاحية aioseo_manage_seo لوحة SEO Preview على رابط مصنوع.
- أعطت Wordfence ثغرة shortcode الدرجة 6.5 وثغرة السكربت 6.1، وكلتاهما متوسطة، ويضع سجل التغييرات المعالجتين في 5.0.2 و5.0.2.1.
- معالجة ثغرة shortcode في 5.0.2.1، فيبقى موقع على 5.0.2 معرضًا لها، وكان 5.0.3 بتاريخ 7 أكتوبر 2026 أحدث إصدار عند فحصنا.
- تذكر Search Engine Journal أن للإضافة أكثر من مليوني تثبيت نشط، ولذلك يستحق التحديث وإن كانت الثغرتان مشروطتين.

نقل Roger Montti في Search Engine Journal [بتاريخ 12 أكتوبر 2026](https://www.searchenginejournal.com/all-in-one-seo-wordpress-plugin-vulnerable-to-two-exploits/592719/) أن ثغرتين أمنيتين أُعلنتا في إضافة All in One SEO (AIOSEO) لـ WordPress، وقدّر عدد تثبيتاتها النشطة بأكثر من مليونين.

جلبنا سجلي CVE للثغرتين من واجهة CIRCL CVE API، وجهة الإسناد في كل منهما Wordfence. والأرقام أدناه من هذين السجلين ومن سجل تغييرات الإضافة في WordPress.org.

وأعادت صفحات Wordfence نفسها فحص بوت عند طلبها، فلم نقرأ تلك الصفحات.

## ما CVE-2026-100152؟

ثغرة تنفيذ shortcode عشوائي بلا مصادقة. يقول سجل Wordfence إن كل الإصدارات حتى 5.0.2 ضمنًا متأثرة، ويمنحها 6.5، أي متوسطة. والسبب بحسب السجل أن الإضافة لا تتحقق كما يجب من قيمة قبل تشغيل `do_shortcode`.

ويضيف السجل شرطًا: يجب أن يظهر مسار التنقل في الإضافة داخل صفحة نتائج البحث، عبر الكتلة أو الودجت أو shortcode أو دالة القالب. ويلاحظ Montti أن التعرض يتوقف على طريقة استخدام الموقع لمسار التنقل رغم أن الدخول غير مطلوب.

فإن كنت تعرض [ترميز مسار التنقل](/tools/breadcrumb-schema-generator) من الإضافة في قالب البحث، فأنت الحالة التي يصفها السجل.

## ما CVE-2026-85492؟

ثغرة XSS من نوع DOM-based تُبلغ عبر مسار الرابط. يذكر السجل الإصدارات حتى 5.0.1.1 ضمنًا ويمنحها 6.1، وهي متوسطة أيضًا. وسببها بحسب السجل نقص تنقية المدخلات وهروب المخرجات.

والاستغلال أضيق: على الضحية أن تكون له الصلاحية `aioseo_manage_seo` وأن يفتح لوحة SEO Preview في شريط الإدارة أثناء زيارته صفحة برابط مصنوع. ويشير Montti إلى أن زيارة الرابط وحدها لا تكفي.

## أي إصدار يعالجهما؟

سجلا Wordfence يذكران النطاقات المتأثرة لا الإصدار المعالج. والإصدارات المعالجة من سجل تغييرات الإضافة في WordPress.org، وينقله Montti أيضًا:

- الإصدار 5.0.2: يذكر تحسين الحماية وحقوق الوصول في SEO Revisions وSEO Analysis وSEO Preview، وإليه يشير مرجع التغيير في سجل ثغرة السكربت.
- الإصدار 5.0.2.1: يذكر تحسين الحماية لـ shortcode في صفحات البحث، وهو معالجة ثغرة shortcode.

فموقع على 5.0.2 فيه معالجة ثغرة السكربت دون معالجة ثغرة shortcode. وأدرج دليل الإضافات 5.0.3 أحدث إصدار عند فحصنا بتاريخ 7 أكتوبر 2026، فأي تثبيت حديث تجاوزهما.

## ماذا يفعل أصحاب المواقع؟

حدّث الإضافة إلى 5.0.2.1 أو أحدث، وهذه توصية Montti أيضًا. افتح الإضافات في لوحة WordPress، وتأكد من إصدار AIOSEO، وحدّث إن ظهر 5.0.2 أو أقدم.

ولا يصف أي من السجلين هجمات فعلية، والثغرتان تحتاجان شروطًا لا تتوفر في مواقع كثيرة: مسار تنقل في قالب البحث للأولى، ومستخدم ذو صلاحية يفتح المعاينة على رابط مصنوع للثانية. فهذا سبب للتحديث ضمن جدولك المعتاد هذا الأسبوع، لا سبب للهلع.

وللسياق الأوسع تجد [SEO التقني](/topics/technical-seo).

## أسئلة شائعة

### ما إصدارات All in One SEO المتأثرة؟

تصيب CVE-2026-100152 كل الإصدارات حتى 5.0.2 ضمنًا وتُعالج في 5.0.2.1. وتصيب CVE-2026-85492 الإصدارات حتى 5.0.1.1 ضمنًا وتُعالج في 5.0.2. والإصدار 5.0.2.1 أو الأحدث يغطي الاثنتين.

### هل تُستغل ثغرة shortcode بلا حساب؟

نعم بحسب سجل Wordfence، فزائر بلا حساب يستطيع تشغيلها. ويشترط السجل أيضًا ظهور مسار التنقل في صفحة نتائج البحث عبر الكتلة أو الودجت أو shortcode أو دالة القالب.

### ما شدة الثغرتين؟

تعطي سجلات Wordfence ثغرة shortcode درجة CVSS قدرها 6.5 وثغرة السكربت 6.1، وكلتاهما متوسطة. ولم تُصنَّف أي منهما عالية أو حرجة.

### ماذا أفعل؟

حدّث All in One SEO إلى 5.0.2.1 أو أحدث من شاشة الإضافات في WordPress، أو دع التحديث التلقائي يتولى ذلك. وكان 5.0.3 بتاريخ 7 أكتوبر 2026 أحدث إصدار في دليل WordPress.org عند فحصنا.

## المصادر

1. [CVE-2026-100152: All in One SEO <= 5.0.2 - Unauthenticated Arbitrary Shortcode Execution](https://cve.circl.lu/api/cve/CVE-2026-100152) - Wordfence (CVE record, via the CIRCL CVE API) (primary)
2. [CVE-2026-85492: All in One SEO <= 5.0.1.1 - Reflected DOM-Based Cross-Site Scripting via URL Pathname](https://cve.circl.lu/api/cve/CVE-2026-85492) - Wordfence (CVE record, via the CIRCL CVE API) (primary)
3. [All in One SEO plugin changelog](https://wordpress.org/plugins/all-in-one-seo-pack/#developers) - WordPress.org Plugin Directory (primary)
4. [All In One SEO WordPress Plugin Vulnerable To Two Exploits](https://www.searchenginejournal.com/all-in-one-seo-wordpress-plugin-vulnerable-to-two-exploits/592719/) - Search Engine Journal