CVE-2026-5075: Ujawnienie wrażliwych informacji w wtyczce All in One SEO dla WordPress

Co wiadomo

Wtyczka All in One SEO dla WordPress w wersjach do 4.9.7 umożliwia uwidocznienie wrażliwych danych konfiguracyjnych poprzez niezabezpieczone przekazywanie opcji wewnętrznych do skryptów lokalizowanych. Atakujący z uprawnieniami współautora lub wyższymi mogą uzyskać dostęp do tokenów API/OAuth oraz danych licencyjnych w źródle strony.

Wpływ biznesowy

Narażenie na wyciek poufnych danych, takich jak tokeny API i informacje licencyjne, może prowadzić do nieautoryzowanego dostępu do usług i naruszenia bezpieczeństwa aplikacji. Operatorzy stron korzystających z tej wtyczki powinni traktować to zagrożenie poważnie, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie uprawnień.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki All in One SEO i ich wdrożenie. W przypadku braku natychmiastowej aktualizacji, ogranicz dostęp użytkowników do poziomu niższego niż współautor oraz monitoruj logi pod kątem podejrzanej aktywności. Przeglądaj konfigurację wtyczki i minimalizuj ekspozycję wrażliwych danych.

Źródła

• NVD
• Reference
• Reference