یک آسیب‌پذیری امنیتی جدید با شناسه CVE-2026-19856 در افزونه محبوب All in One SEO (AIOSEO) برای سیستم مدیریت محتوای وردپرس شناسایی شده است. این نقص امنیتی به مهاجمان اجازه می‌دهد تا بدون نیاز به احراز هویت (Unauthenticated)، محدودیت‌های فیلترینگ افزونه را دور زده و Shortcodeهای ثبت شده در سایت را اجرا کنند.
جزئیات فنی آسیب‌پذیری
در نسخه‌های پیش از 5.0.2.1، این افزونه نمی‌تواند به‌طور صحیح تشخیص دهد که کدام Shortcodeها در محتوای مشتق شده از ورودی کاربر وجود دارند تا آن‌ها را حذف کند. این نقص منجر به امکان Shortcode Injection می‌شود. نکته بحرانی این است که در سایت‌هایی که از نسخه‌های قدیمی‌تر ارتقا یافته‌اند، مکانیزم‌های حفاظتی به‌طور کامل غیرفعال شده و مهاجم حتی بدون نیاز به ارسال Payloadهای پیچیده، می‌تواند به این آسیب‌پذیری دسترسی پیدا کند.
تحلیل اثرگذاری و ریسک
- بردار حمله: حمله از راه دور (Remote) و بدون نیاز به تعامل کاربر (No Interaction).
- تاثیرات: شدت عملیاتی این حمله به Shortcodeهای فعال در سایت (که توسط قالب یا سایر افزونه‌ها ثبت شده‌اند) بستگی دارد.
- امتیاز CVSS: این آسیب‌پذیری با امتیاز 6.5 (Medium) رتبه‌بندی شده است که نشان‌دهنده تاثیر محدود بر محرمانگی (Confidentiality) و یکپارچگی (Integrity) داده‌هاست.
توصیه امنیتی
به مدیران وب‌سایت‌ها و متخصصان امنیت توصیه می‌شود هرچه سریع‌تر افزونه All in One SEO را به آخرین نسخه منتشر شده (نسخه 5.0.2.1 یا جدیدتر) به‌روزرسانی کنند تا از اجرای کدهای غیرمجاز در محیط وب‌سایت خود جلوگیری نمایند.
