CVE-2026-19856

Nome do Software Vulnerável e Versões Afetadas All in One SEO versões anteriores a 5.0.2.1

Description Usuários não autenticados podem executar shortcodes arbitrários registrados no site porque o plugin não determina corretamente quais shortcodes estão presentes no conteúdo derivado de entrada do usuário antes de removê-los. Em sites atualizados de versões anteriores, a proteção é totalmente desativada, permitindo que o problema seja acionado sem a necessidade de entrada manipulada. Isso afeta mais de 3 milhões de sites WordPress.

Recommendations Atualize para a versão 5.0.2.1 ou posterior. Audite todos os shortcodes registrados para entender a superfície de risco potencial. Verifique campos de entrada não confiáveis, como comentários e envios, em busca de padrões de sintaxe de shortcode.