Duas vulnerabilidades foram divulgadas em um dos plugins mais conhecidos para sites WordPress: a vulnerabilidade no All in One SEO envolve execução de shortcodes sem autenticação e injeção de scripts em condições específicas. As duas falhas já possuem correção.
O All in One SEO, também conhecido como AIOSEO, é utilizado por mais de 2 milhões de instalações. Quem utiliza o plugin deve confirmar se está na versão 5.0.2.1 ou posterior para cobrir os dois problemas divulgados.
Resumo
- All in One SEO teve duas vulnerabilidades de segurança divulgadas.
- Uma pode permitir execução de shortcodes por atacantes sem autenticação.
- A outra envolve XSS e depende da interação de um usuário autorizado.
- A versão 5.0.2.1 contém as correções necessárias para ambas.
Quais são as vulnerabilidades no All in One SEO?
A primeira falha, CVE-2026-100152, permite que um atacante sem conta no WordPress tente provocar a execução de shortcodes arbitrários.
Isso acontece porque determinada ação do plugin não validava corretamente um valor antes de enviá-lo para a função do_shortcode do WordPress.
Existe, porém, uma condição importante: os breadcrumbs do AIOSEO precisam estar sendo renderizados na página de resultados de pesquisa por bloco, widget, shortcode ou template tag.
Ou seja, a vulnerabilidade não funciona exatamente da mesma maneira em toda instalação do plugin.
| Falha | CVSS | Condição principal | Correção |
|---|---|---|---|
| CVE-2026-100152 | 6,5 | Breadcrumb do AIOSEO na busca | 5.0.2.1 |
| CVE-2026-85492 | 6,1 | Usuário autorizado precisa interagir com SEO Preview | 5.0.2 |
Como funciona a falha de XSS?
A segunda vulnerabilidade é um Cross-Site Scripting baseado no DOM.
Nesse caso, um atacante pode preparar uma URL contendo uma carga maliciosa. Apenas visitar esse endereço, porém, não basta.
A exploração exige que a vítima tenha a capacidade aioseo_manage_seo e abra o painel SEO Preview na barra administrativa enquanto está naquela URL.
O script então pode ser executado no navegador daquele usuário.
Esse contexto é importante porque manchetes como “plugin de SEO permite invasão sem login” esconderiam condições diferentes entre as duas falhas.
Qual versão do AIOSEO resolve os dois problemas?
A versão mais segura como referência mínima é a 5.0.2.1.
O changelog oficial registra na 5.0.2.1 uma melhoria das proteções de segurança de shortcodes nas páginas de pesquisa.
Já a versão 5.0.2 havia reforçado proteções relacionadas a SEO Preview, SEO Analysis e SEO Revisions.
Como já existe inclusive a versão 5.0.3, não há razão para permanecer especificamente em releases vulneráveis.
Esse é justamente o tipo de item que precisa entrar numa auditoria WordPress. Plugins que funcionam visualmente bem podem ainda estar tecnicamente desatualizados.
Confira também estes conteúdos relacionados:
- Veja a falha recente que atingiu versões do Elementor.
- Entenda a vulnerabilidade crítica corrigida pelo WordPress 7.1.2.
- Saiba o que revisar numa auditoria completa de site.
Um plugin de SEO também faz parte da superfície de segurança
É comum pensar num plugin como o All in One SEO apenas em termos de sitemap, title, schema, redirects ou otimização de conteúdo.
Mas ele continua sendo código executado dentro do WordPress.
Quanto mais recursos um plugin possui, mais importante fica manter sua versão acompanhada.
Quando escrevi sobre WordPress, destaquei justamente a vantagem que os plugins oferecem ao adicionar funções sem obrigar a empresa a desenvolver tudo do zero. Essa facilidade continua sendo uma grande vantagem. O preço operacional é tratar atualização como manutenção contínua.
Uma boa infraestrutura de hospedagem também ajuda por oferecer backup, restauração e outros recursos quando uma atualização gera incompatibilidade.
O site precisa ser revisado depois de atualizar?
Em projetos profissionais, sim.
A atualização fecha as vulnerabilidades conhecidas, mas vale verificar se páginas, breadcrumbs, sitemap, redirects e demais recursos continuam funcionando como esperado.
Esse cuidado é ainda maior quando existem vários plugins, temas personalizados e integrações.
Uma página de qualidade depende tanto da informação exibida quanto de uma estrutura técnica confiável.
Eu também já defendi que um site que não funciona impede que SEO e mídia entreguem resultado. Segurança faz parte dessa mesma base. Não adianta aumentar aquisição enquanto o ativo que recebe o público está vulnerável ou instável.
All in One SEO deve ser atualizado para a versão corrigida
A vulnerabilidade no All in One SEO não significa que todos os milhões de sites que usam o plugin foram comprometidos. As duas falhas possuem condições específicas de exploração.
Mas existe uma ação simples e objetiva: confirmar a versão instalada e atualizar para 5.0.2.1 ou posterior.
Depois, revise backups, usuários, plugins e saúde técnica do restante da instalação. Se você precisa analisar segurança, WordPress e desempenho do site de forma integrada, fale com a Agência Henshin.
Perguntas frequentes (FAQ)
A CVE-2026-100152 afeta versões até 5.0.2, enquanto a CVE-2026-85492 afeta versões até 5.0.1.1. Como as correções foram distribuídas em releases diferentes, utilizar AIOSEO 5.0.2.1 ou uma versão posterior cobre os dois problemas divulgados.
A falha de shortcode pode ser acionada por um atacante sem autenticação quando a configuração necessária de breadcrumbs está presente. A vulnerabilidade de XSS também começa por uma URL criada pelo atacante, mas depende da interação posterior de um usuário autorizado a gerenciar recursos de SEO.
A versão 5.0.2.1 já contém as correções para as duas vulnerabilidades divulgadas. Como versões posteriores já estão disponíveis, a recomendação prática é utilizar a release estável mais recente compatível com o site, depois de garantir backup e revisar o funcionamento do projeto.
Não. A primeira vulnerabilidade depende de breadcrumbs do AIOSEO aparecerem na página de resultados de pesquisa. A segunda exige uma sequência específica envolvendo usuário com permissão adequada, URL maliciosa e abertura do painel SEO Preview. O risco varia conforme a configuração utilizada.
Não. A atualização corrige essas vulnerabilidades específicas do AIOSEO. Segurança do WordPress também depende do Core, tema, outros plugins, hospedagem, usuários, senhas, backups e configurações. Por isso, atualização precisa fazer parte de uma rotina mais ampla de manutenção.
