WordPress插件AIOSEO曝两处漏洞 升级至5.0.2.1及以上版本可修复

WordPress SEO插件All in One SEO（AIOSEO）被披露存在两处安全漏洞，分别涉及任意短代码执行和基于DOM的跨站脚本攻击（XSS）。

两个漏洞均已修复。使用受影响版本的网站，应尽快更新至5.0.2.1或更高版本。需要注意，两处漏洞都有特定触发条件，不能理解为所有安装AIOSEO的网站都能被直接入侵。

两处漏洞影响哪些版本？

只升级到5.0.2，仍未覆盖此次披露的全部问题。希望同时修复两处漏洞，需要至少更新至5.0.2.1。

短代码漏洞与搜索页面面包屑有关

CVE-2026-100152源于插件在调用WordPress的do_shortcode函数前，未对相关输入进行充分校验，导致未经身份验证的攻击者可能触发网站执行短代码。

利用这一漏洞有一个关键前提：网站通过区块、小工具、短代码或模板标签，在搜索结果页面上显示了AIOSEO面包屑导航。

因此，网站是否受该攻击路径影响，与面包屑的实际使用方式有关，不能仅凭安装了插件就判断漏洞一定可被利用。此外，任意短代码执行也不等于能够直接执行任意PHP代码，实际影响取决于网站可调用的短代码及其功能。

XSS漏洞需要特定用户操作

CVE-2026-85492与URL路径处理有关。由于输入过滤和输出转义不足，攻击者可以构造包含恶意脚本载荷的链接。

但仅访问链接并不足以完成攻击，还需要同时满足以下条件：

• 用户拥有aioseo_manage_seo权限；
• 用户访问带有恶意载荷的URL；
• 用户通过WordPress管理工具栏打开AIOSEO的SEO预览面板。

满足这些条件时，恶意脚本可能在该用户的浏览器中执行。攻击者自身无需登录，但攻击依赖具有相应权限的用户参与，不能描述为“任意访客打开网站就会触发”。

两次更新已完成修复

AIOSEO更新日志显示，2026年9月22日发布的5.0.2版本加强了SEO修订、SEO分析和SEO预览的安全与访问保护，修复了上述XSS漏洞。

随后，2026年10月1日发布的5.0.2.1版本加强了搜索页面短代码的安全防护，修复了任意短代码执行漏洞。

网站管理员可以进入“WordPress后台 → 插件 → 已安装插件”，检查AIOSEO版本，并安装包含这些修复的更新版本。

更新前建议备份数据库和网站文件，重要网站先进行兼容性测试；更新后检查搜索结果页、面包屑、SEO预览和站点地图是否正常。具体检查项目可参考WordPress插件更新前检查清单。

对于仍停留在受影响版本的网站，应优先安排更新。即使没有启用相关功能，也不宜长期依赖漏洞触发条件来代替安全修复。

分类：新闻资讯

标签：wordpress插件