插件漏洞速览
All in One SEO（AIOSEO）是 WordPress 生态中装机量最大的 SEO 插件之一，目前有超过 200 万个活跃站点使用。近日该插件被披露存在两个中危漏洞，攻击者可在特定条件下执行任意短代码或注入恶意脚本。
漏洞一：未授权任意短代码执行（CVE-2026-100152）
风险等级：CVSS 6.5（Medium） 影响版本：AIOSEO 5.0.2 及以下所有版本
该漏洞因插件在调用 WordPress do_shortcode 函数前缺少校验逻辑所致。短代码是 WordPress 中用于触发特定功能的指令，攻击者可借此在无需登录的情况下让网站执行任意短代码。
触发前提（重要限制）：页面需通过区块（Block）、小工具（Widget）、短代码或模板标签的方式，在搜索结果页上渲染 AIOSEO 面包屑导航。面包屑是帮助用户了解当前位置的导航链接，若站点未在搜索结果页启用 AIOSEO 面包屑，则该漏洞无法被利用。
漏洞二：DOM 型 XSS 注入（CVE-2026-85492）
风险等级：CVSS 6.1（Medium） 影响版本：AIOSEO 5.0.1.1 及以下所有版本
漏洞根源在于 URL 路径处理时输入过滤与输出转义不充分。攻击者可构造含恶意脚本的 URL，在诱导拥有 aioseo_manage_seo 权限的用户打开管理工具栏中的 SEO Preview 面板时触发执行。
需要注意的是，仅访问恶意链接并不足以利用此漏洞——目标用户必须同时具备 AIOSEO 的 SEO 管理权限，并在打开 SEO Preview 面板的状态下浏览恶意 URL，脚本才会在浏览器中执行。
修复情况与应对建议
AIOSEO 已在后续版本中分别修复这两个漏洞：
| 漏洞编号 | 修复版本 | 修复说明 |
|---|---|---|
| CVE-2026-85492 | 5.0.2 | 强化 SEO Revisions、SEO Analysis 与 SEO Preview 的安全访问控制 |
| CVE-2026-100152 | 5.0.2.1 | 增强搜索结果页短代码的安全校验 |
建议所有使用 AIOSEO 的站点立即升级至 5.0.2.1 或更高版本，以同时抵御上述两个漏洞。若因业务原因无法立即更新，应审查搜索结果页是否渲染了 AIOSEO 面包屑，并评估是否可临时移除相关区块或小工具。
