Deux vulnérabilités de sécurité ont été révélées dans le plugin WordPress All in One SEO, qui compte plus de deux millions d’installations actives. Les deux vulnérabilités permettent à des attaquants non authentifiés d’exécuter des codes courts arbitraires ou d’injecter des scripts malveillants dans des conditions spécifiques.
Plugin WordPress SEO tout-en-un
Le plugin WordPress All in One SEO (AIOSEO) est un plugin SEO populaire utilisé par plus de 2 millions d’utilisateurs. Il est utilisé pour gérer les paramètres d’optimisation des moteurs de recherche sur les sites Web WordPress. Il fournit également des outils pour gérer les plans de site XML, les données structurées, les redirections, les liens internes et l’optimisation du contenu. Le plugin comprend également des outils pour surveiller les classements de recherche, auditer le référencement des sites Web et générer du contenu avec l’IA.
CVE-2026-100152 Vulnérabilité d’exécution de shortcode arbitraire non authentifié
La première vulnérabilité, notée 6.5 (Moyenne), affecte toutes les versions d’AIOSEO jusqu’à la 5.0.2 incluse. Il permet à des attaquants non authentifiés d’exécuter des codes courts WordPress arbitraires lorsque des conditions spécifiques sont remplies.
Ce qui rend cette vulnérabilité préoccupante, c’est que les attaquants n’ont pas besoin d’un compte sur le site Web ni d’aucun niveau de privilèges utilisateur pour l’exploiter.
La vulnérabilité est causée par un contrôle de validation manquant avant que le plugin n’exécute la fonction WordPress `do_shortcode`.
Les shortcodes sont des instructions qui indiquent à WordPress d’exécuter des fonctions spécifiques, telles que l’affichage de contenu ou l’exécution d’une fonctionnalité. La fonction `do_shortcode` traite ces instructions.
La faiblesse de la sécurité est que le plugin ne vérifie pas correctement une valeur avant d’exécuter un shortcode, ce qui permet à un attaquant d’amener le site Web à exécuter des shortcodes arbitraires.
Selon Wordfence :
« Cela permet à des attaquants non authentifiés d’exécuter des codes courts arbitraires. Cela nécessite que le fil d’Ariane AIOSEO soit affiché sur la page de résultats de recherche via le bloc, le widget, le shortcode ou la balise de modèle. «
Cette dernière partie constitue une limitation importante car la vulnérabilité nécessite que le fil d’Ariane AIOSEO apparaisse sur une page de résultats de recherche WordPress.
Les fils d’Ariane sont les liens de navigation qui montrent aux visiteurs où se trouve une page sur un site Web. La vulnérabilité peut être exploitée lorsque ces fils d’Ariane sont affichés sur les pages de résultats de recherche en utilisant l’une des méthodes identifiées par Wordfence.
Cela signifie que même si les attaquants n’ont pas besoin de se connecter, la vulnérabilité dépend de la manière dont le site Web utilise la fonction fil d’Ariane du plugin.
CVE-2026-85492 Vulnérabilité XSS non authentifiée
La deuxième vulnérabilité, notée 6.1 (Moyenne), est une vulnérabilité XSS (Cross-Site Scripting) basée sur DOM qui affecte toutes les versions jusqu’à 5.0.1.1 incluse.
Cette vulnérabilité implique également des attaquants non authentifiés, mais son exploitation nécessite qu’un utilisateur WordPress autorisé prenne des mesures spécifiques.
La faille de sécurité est due à une vérification insuffisante des entrées et à un échappement des sorties lors de la gestion d’un nom de chemin d’URL.
La désinfection des entrées et l’échappement des sorties sont des mesures de sécurité utilisées pour empêcher que des informations non fiables soient traitées comme du code exécutable. Dans ce cas, les protections manquantes permettent aux attaquants d’insérer des scripts malveillants dans une URL spécialement construite.
Wordfence explique :
« Cela permet à des attaquants non authentifiés d’injecter des scripts Web arbitraires dans des pages qui s’exécuteront chaque fois qu’un utilisateur visite une URL contrefaite. L’exploitation nécessite que la victime détienne la capacité aioseo_manage_seo et ouvre le panneau d’aperçu SEO dans la barre d’outils d’administration WordPress tout en visitant une page avec une charge utile malveillante intégrée dans le chemin d’accès de l’URL. «
Ce qui rend cette vulnérabilité plus difficile à exploiter, c’est que la seule visite de l’URL malveillante ne suffit pas.
L’utilisateur ciblé doit disposer de la capacité « aioseo_manage_seo », qui est une autorisation WordPress associée à la gestion des fonctionnalités de référencement. Cet utilisateur doit également ouvrir le panneau SEO Preview du plugin à partir de la barre d’outils d’administration WordPress tout en visitant l’URL malveillante.
XSS basé sur DOM signifie que le script malveillant s’exécute dans le navigateur Web de l’utilisateur. La vulnérabilité dépend donc des actions d’un utilisateur disposant de l’autorisation SEO requise plutôt que de permettre à un attaquant d’exécuter le script simplement en accédant au site Web.
Les deux vulnérabilités sont corrigées
Les deux vulnérabilités ont été corrigées dans des versions distinctes du plugin All in One SEO.
CVE-2026-85492
La version 5.0.2 corrige la vulnérabilité de script intersite. Le journal des modifications du plugin décrit les améliorations de sécurité :
« Corrigé : sécurité améliorée et protections d’accès dans les révisions SEO, l’analyse SEO et l’aperçu SEO. »
CVE-2026-100152
La version 5.0.2.1 corrige la vulnérabilité d’exécution arbitraire de shortcode.
Le journal des modifications décrit la mise à jour :
« Corrigé : protections de sécurité améliorées pour les codes courts sur les pages de recherche. »
Il est recommandé aux utilisateurs du plugin WordPress All in One SEO de mettre à jour vers la version 5.0.2.1 ou une version corrigée plus récente pour se protéger contre les deux vulnérabilités.
