حصلت إضافة All in One SEO الشهيرة على تحديثات أمنية لمعالجة ثغرات All in One SEO التي تسمح في ظروف معينة لمهاجم غير مسجل بتنفيذ Shortcodes عشوائية أو حقن JavaScript عبر رابط مُصمم خصيصًا. الإضافة تعمل على أكثر من مليوني موقع ووردبريس، ولذلك فإن الخبر مهم لأصحاب المواقع حتى مع وجود شروط تحد من الاستغلال. الإصلاحات أصبحت متاحة بالفعل، والنسخة الحالية في مستودع WordPress.org هي 5.0.3، بينما بدأ إغلاق الثغرتين من الإصدارين 5.0.2 و5.0.2.1.
الإجابة السريعة
إذا كنت تستخدم All in One SEO، فالحل المباشر هو التحديث إلى الإصدار 5.0.2.1 أو أحدث، ويفضل إلى أحدث نسخة متاحة حاليًا. ثغرات All in One SEO المكتشفة تشمل مشكلة تسمح بتنفيذ Shortcodes من دون تسجيل دخول في ظروف مرتبطة بعرض Breadcrumbs في صفحة نتائج البحث، وثغرة DOM-based XSS تحتاج إلى فتح مستخدم يملك صلاحية إدارة SEO لرابط خبيث ثم فتح لوحة SEO Preview. النسخ المصححة أغلقت المسارين بالفعل.
ما هي ثغرات All in One SEO الجديدة؟
المشكلة الأولى تحمل المرجع CVE-2026-100152، وتؤثر على الإصدارات حتى 5.0.2. تسمح لمهاجم غير موثق بإجبار الموقع على تنفيذ Shortcodes عشوائية عندما تكون Breadcrumbs الخاصة بالإضافة معروضة على صفحة نتائج البحث باستخدام Block أو Widget أو Shortcode أو Template Tag.
المشكلة الثانية تحمل المرجع CVE-2026-85492، وهي ثغرة DOM-based Cross-Site Scripting تؤثر على الإصدارات حتى 5.0.1.1. هنا لا يكفي مجرد إرسال رابط خبيث؛ يحتاج الاستغلال إلى مستخدم لديه صلاحية aioseo_manage_seo يزور الرابط المصمم ثم يفتح لوحة SEO Preview من شريط إدارة ووردبريس.
| الثغرة | الإصدارات المتأثرة | الإصلاح | أهم شرط للاستغلال |
|---|---|---|---|
| CVE-2026-100152 | حتى 5.0.2 | 5.0.2.1 | ظهور AIOSEO Breadcrumbs في صفحة نتائج البحث |
| CVE-2026-85492 | حتى 5.0.1.1 | 5.0.2 | فتح مستخدم مخول لوحة SEO Preview أثناء زيارة رابط خبيث |
الثغرة الأولى تسمح بتنفيذ Shortcodes دون تسجيل دخول
أخطر ما في المسار الأول أن المهاجم لا يحتاج إلى حساب على الموقع. الخلل سببه غياب تحقق كافٍ قبل تمرير قيمة إلى دالة do_shortcode في ووردبريس، وهو ما يفتح الباب لتنفيذ Shortcodes يحددها المهاجم عندما تتوافر شروط معينة في صفحة البحث.
لكن وصف ثغرات All in One SEO بأنها تؤدي تلقائيًا إلى السيطرة على كل موقع سيكون مبالغة. الاستغلال يعتمد على وجود Breadcrumbs التابعة للإضافة في صفحة نتائج البحث. إذا لم يكن هذا العنصر معروضًا هناك، لا يتوافر المسار نفسه وفق تفاصيل الثغرة المنشورة.
هل تنفيذ Shortcode يعني تنفيذ PHP مباشرة؟
ليس بالضرورة. Shortcode في ووردبريس هو أمر مسجل مسبقًا بواسطة WordPress أو القالب أو إحدى الإضافات، ويقوم بتنفيذ الوظيفة المرتبطة به. لذلك فإن خطورة السماح بتنفيذ Shortcodes عشوائية تعتمد على ما هو مسجل ومتاح بالفعل داخل الموقع.
ولهذا تختلف النتيجة من موقع إلى آخر. قد تكون بعض Shortcodes غير مؤذية نسبيًا، بينما قد توجد إضافات تضيف Shortcodes تنفذ عمليات حساسة أو تكشف بيانات أو تغير سلوك الموقع. Patchstack يصنف المشكلة كتنفيذ Shortcodes عشوائية دون مصادقة، ويوصي بالتحديث الفوري.
الثغرة الثانية تعمل داخل متصفح مستخدم مخول
المشكلة الثانية مختلفة في طبيعتها. ثغرات All in One SEO تتضمن DOM-based XSS ناتجة عن عدم تنقية مسار URL والهروب منه بصورة كافية قبل التعامل معه في واجهة المتصفح. المهاجم يستطيع تجهيز رابط يحتوي Payload خبيث، لكن نجاح التنفيذ يحتاج إلى تفاعل إضافي من شخص لديه صلاحية إدارة SEO.
وفق التفاصيل المنشورة، يجب أن يفتح المستخدم المخول الرابط ثم يفتح لوحة SEO Preview من شريط إدارة ووردبريس. عندها يمكن للسكريبت الخبيث أن يعمل داخل متصفح هذا المستخدم. هذا الشرط يقلل سهولة الاستغلال مقارنة بثغرة تعمل بمجرد زيارة أي زائر للرابط.
درجات الخطورة تختلف قليلًا بين قواعد البيانات
عند مراجعة ثغرات All in One SEO قد تلاحظ اختلافًا في رقم CVSS المنشور للثغرتين حسب قاعدة البيانات. WPScan يسجل CVE-2026-100152 بدرجة 6.5 وCVE-2026-85492 بدرجة 7.1، بينما تعرض Patchstack للأولى درجة 5.3 مع تصنيف أولوية متوسطة. هذا الاختلاف لا يغير الإجراء العملي المطلوب: النسخ الضعيفة يجب تحديثها.
الأهم من الرقم المجرد هو شروط الاستغلال. الأولى لا تحتاج إلى حساب لكنها مرتبطة بطريقة استخدام Breadcrumbs، والثانية تحتاج تفاعل مستخدم يملك صلاحية محددة. لذلك فإن تقييم المخاطر الفعلي لأي موقع يعتمد على تكوينه، لكن وجود إصلاح متاح يجعل تأجيل التحديث غير مبرر.
All in One SEO أغلقت المشكلتين بالفعل
سجل التغييرات الرسمي للإضافة يؤكد أن الإصدار 5.0.2 حسّن الحماية والأذونات في SEO Preview ومناطق أخرى، بينما جاء الإصدار 5.0.2.1 في 1 أكتوبر 2026 مع بند واضح يقول إن الحماية الأمنية للـShortcodes على صفحات البحث تم تحسينها.
والنسخة المتاحة حاليًا على WordPress.org هي 5.0.3، أي أن من يقوم بالتحديث إلى أحدث إصدار لا يحتاج إلى البحث عن إصدار أمني وسيط. صفحة الإضافة الرسمية تعرض أكثر من مليوني تثبيت نشط، وهو ما يفسر الاهتمام الكبير بأي ثغرات All in One SEO حتى عندما تكون لها شروط استغلال محددة.
ماذا يجب أن يفعل أصحاب المواقع الآن؟
- افتح لوحة ووردبريس ثم الإضافات وتحقق من رقم إصدار All in One SEO.
- إذا كان الإصدار أقدم من 5.0.2.1، حدّثه فورًا إلى أحدث إصدار متاح.
- إذا تعذر التحديث مؤقتًا، راجع استخدام AIOSEO Breadcrumbs في صفحات نتائج البحث.
- لا تفتح روابط غير موثوقة أثناء تسجيل الدخول بحساب يملك صلاحيات SEO أو إدارة.
- خذ نسخة احتياطية قبل أي تحديث كبير، ثم اختبر الواجهة والمحرر بعد التحديث.
هل توجد حاجة إلى حذف الإضافة؟
في التعامل مع ثغرات All in One SEO لا توجد حاجة إلى حذف الإضافة إذا كانت محدثة. الثغرتان تم تصحيحهما، والإصدار الحالي أحدث من الإصدارات المتأثرة. في مثل هذه الحالات يكون الإجراء الصحيح هو التحديث، لا إزالة الإضافة واستبدالها بشكل متسرع ما لم تكن لديك أسباب أخرى لذلك.
هذا يتماشى مع القاعدة العامة في أمان ووردبريس: الثغرة التي حصلت على Patch تصبح مشكلة أساسية للمواقع التي تؤخر التحديث. وقد تناولنا في سوالف سوفت سابقًا نظام المراجعة الأمنية التلقائية لإضافات ووردبريس الذي يستهدف تقليل وصول تحديثات خطرة إلى المستخدمين.
هل هناك استغلال نشط معروف؟
المصادر التي راجعتها لا تقدم دليلًا على حملة استغلال نشط واسعة لهذه الثغرتين وقت كتابة هذا الخبر. Patchstack تقول إن فئة تنفيذ Shortcodes قد تستخدم في حملات جماعية، لكنها لم تنشر هنا رقمًا أو دليلًا يثبت أن هذه الثغرة بعينها يجري استغلالها على نطاق واسع.
لذلك لا ينبغي رفع مستوى الخبر إلى «هجمات جارية» من دون دليل. ما نعرفه هو أن ثغرات All in One SEO أصبحت علنية، وأن الإصلاح متاح، وأن بقاء موقع على نسخة ضعيفة بعد النشر يزيد المخاطر مع مرور الوقت.
كيف تتأكد من أن موقعك أصبح محميًا؟
للتأكد من إغلاق ثغرات All in One SEO انتقل إلى Plugins ثم Installed Plugins وابحث عن All in One SEO. إذا كان رقم الإصدار 5.0.2.1 أو أحدث، فقد حصلت على الإصلاحين المشار إليهما. والأفضل تشغيل أحدث نسخة مستقرة، وهي 5.0.3 وقت إعداد هذا المقال، ما لم يكن لديك سبب تقني موثق يمنع ذلك.
يمكن مراجعة صفحة All in One SEO الرسمية على WordPress.org لمتابعة الإصدار الحالي وسجل التغييرات، وكذلك سجل تغييرات AIOSEO الرسمي لمعرفة الإصلاحات الأمنية. الخلاصة العملية من ثغرات All in One SEO بسيطة: إذا كنت تستخدم الإضافة، لا تبق على 5.0.2 أو أقدم، وتحقق من التحديث الآن بدل انتظار ظهور مشكلة فعلية على الموقع.
لا يسمح بنقل هذا المحتوى من سوالف دون الاشارة برابط مباشر
