O All in One SEO, plugin de SEO para WordPress usado por mais de dois milhões de sites, acaba de ter duas vulnerabilidades de segurança reveladas publicamente. As falhas no All in One SEO permitem que invasores sem qualquer tipo de autenticação executem shortcodes arbitrários ou injetem scripts maliciosos, desde que certas condições específicas sejam atendidas no site afetado.
O que é o All in One SEO e por que a falha preocupa
Conhecido pela sigla AIOSEO, o plugin é um dos queridinhos de quem administra sites em WordPress, justamente por reunir em um só lugar ferramentas de otimização para buscadores. Ele cuida de sitemaps em XML, dados estruturados, redirecionamentos, links internos e otimização de conteúdo, além de oferecer recursos de monitoramento de rankings, auditoria de SEO e até geração de conteúdo com inteligência artificial.
Ou seja, estamos falando de uma ferramenta bastante popular — e é justamente essa popularidade que torna qualquer brecha de segurança nele algo que merece atenção redobrada por parte de quem administra sites.
Primeira falha: execução de shortcode sem autenticação
A primeira vulnerabilidade identificada recebeu o código CVE-2026-100152 e classificação de severidade média, com nota 6.5. Ela afeta todas as versões do plugin até a 5.0.2, incluindo essa versão.
O detalhe mais chamativo aqui é que o invasor não precisa ter conta no site, nem qualquer nível de privilégio de usuário, para explorar essa falha. O problema está na ausência de uma verificação de validação antes que o plugin execute a função `do_shortcode` do WordPress.
Para quem não é da área: shortcodes são comandos que dizem ao WordPress para executar alguma função específica, como exibir um conteúdo ou ativar um recurso. A função `do_shortcode` é justamente quem processa essas instruções. Como o plugin não verifica corretamente um valor antes de rodar esse processo, abre-se a porta para que um atacante force o site a executar shortcodes à revelia.
De acordo com a empresa de segurança Wordfence, responsável por documentar a falha:
“Isso torna possível que invasores não autenticados executem shortcodes arbitrários. Isso exige que o breadcrumb do AIOSEO seja renderizado na página de resultados de busca por meio do bloco, widget, shortcode ou tag de template.”
Esse último trecho é importante porque mostra que a exploração da falha não é tão simples assim: ela depende de os breadcrumbs (aquelas trilhas de navegação que mostram onde a página está localizada dentro do site) estarem sendo exibidos na página de resultados de busca do próprio WordPress, usando um dos métodos citados pela Wordfence. Em resumo, mesmo sem precisar de login, o ataque só funciona se o site usar o recurso de breadcrumb de uma forma específica.
Segunda falha: XSS que depende de ação do administrador
Já a segunda vulnerabilidade, catalogada como CVE-2026-85492, tem nota 6.1 e também é considerada de severidade média. Trata-se de uma falha de Cross-Site Scripting baseada em DOM (DOM-based XSS), que atinge todas as versões até a 5.0.1.1.
Apesar de também não exigir autenticação do atacante, essa falha só pode ser explorada se um usuário autorizado do WordPress realizar ações bem específicas. O problema está na sanitização insuficiente de entrada e na falta de escape de saída no tratamento do caminho de uma URL — mecanismos de segurança que, quando funcionam corretamente, impedem que informações não confiáveis sejam tratadas como código executável. Sem essa proteção, um invasor consegue inserir scripts maliciosos em uma URL construída especialmente para esse fim.
A Wordfence detalha como o ataque pode acontecer na prática:
“Isso torna possível que invasores não autenticados injetem scripts web arbitrários em páginas, que serão executados sempre que um usuário visitar uma URL manipulada. A exploração exige que a vítima tenha a permissão aioseo_manage_seo e abra o painel de SEO Preview na barra de ferramentas do admin do WordPress enquanto visita uma página com o payload malicioso incorporado no caminho da URL.”
Isso significa que simplesmente clicar no link malicioso não é suficiente para ser vítima do ataque. É preciso que o usuário alvo tenha a permissão `aioseo_manage_seo`, associada ao gerenciamento de recursos de SEO dentro do WordPress, e que ele abra o painel SEO Preview do plugin exatamente enquanto acessa a URL maliciosa. Como o script é executado no navegador do próprio usuário, a falha depende muito mais do comportamento de quem tem essa permissão específica do que de um ataque direto ao servidor.
As duas falhas do All in One SEO já foram corrigidas
A boa notícia é que ambas as vulnerabilidades já receberam correção em atualizações separadas do plugin. A falha de XSS (CVE-2026-85492) foi resolvida na versão 5.0.2, cujo changelog traz a seguinte descrição:
“Corrigido: Melhoradas as proteções de segurança e acesso em SEO Revisions, SEO Analysis e no SEO Preview.”
Já a falha de execução arbitrária de shortcode (CVE-2026-100152) foi corrigida na versão 5.0.2.1, com a seguinte anotação no changelog:
“Corrigido: Melhoradas as proteções de segurança para shortcodes em páginas de busca.”
Diante disso, a recomendação para quem usa o All in One SEO é clara: atualizar o plugin para a versão 5.0.2.1 ou qualquer versão mais recente que já inclua essas correções. Afinal, mesmo falhas classificadas como de severidade média podem representar risco real para sites com alto volume de tráfego, especialmente quando o invasor não precisa de credenciais para começar a explorar o problema.
Com informações de searchenginejournal.com.
