→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-85492 · all-in-one-seo-pack
آسیب‌پذیری تزریق اسکریپت از طریق وب (DOM-Based XSS) در افزونه All in One SEO
افزونه All in One SEO وردپرس تا نسخه 5.0.1.1 به دلیل پاکسازی ناکافی ورودی‌ها و عدم ایمن‌سازی خروجی در مسیر URL، در برابر آسیب‌پذیری تزریق اسکریپت از طریق وب (DOM-Based XSS) آسیب‌پذیر است. این نقص امنیتی به مهاجمان احراز هویت نشده اجازه می‌دهد تا با سوءاستفاده از آدرس‌های دستکاری‌شده و نیازمند تعامل کاربر دارای دسترسی، کدهای مخرب جاوااسکریپت را اجرا کنند. توصیه می‌شود برای رفع این مشکل، افزونه را بلافاصله به آخرین نسخه ایمن به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 5.0.1.1
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته all-in-one-seo-pack را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.
مراجع رسمی و مستندات
- https://www.wordfence.com/threat-intel/vulnerabilities/id/5d4da592-3e8a-401d-b461-1770db9de654?source=api-prod ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/5d4da592-3e8a-401d-b461-1770db9de654 ↗
- https://plugins.trac.wordpress.org/browser/all-in-one-seo-pack/tags/5.0.1.1/dist/Lite/assets/js/GoogleSearchPreview.8286359f.js#L1 ↗
- https://plugins.trac.wordpress.org/browser/all-in-one-seo-pack/tags/5.0.1.1/dist/Lite/assets/js/app-core.36551fe5.js#L1 ↗
- https://plugins.trac.wordpress.org/changeset?reponame=&new=3709882%40all-in-one-seo-pack%2Ftags%2F5.0.2&old=3670552%40all-in-one-seo-pack%2Ftags%2F5.0.1.1 ↗
- https://www.wordfence.com/threat-intel/vulnerabilities/id/5d4da592-3e8a-401d-b461-1770db9de654?source=cve ↗