All in One SEO corrige dos fallos que se explotaban sin iniciar sesión
El plugin All in One SEO para WordPress, con más de dos millones de instalaciones activas, ha parcheado dos vulnerabilidades de gravedad media descubiertas por Wordfence: una ejecución de shortcodes arbitrarios (CVE-2026-100152) y un XSS basado en DOM (CVE-2026-85492). Las dos las puede lanzar alguien sin cuenta en la web, pero cada una exige una condición concreta. La versión 5.0.2.1 cierra las dos; la actual es la 5.0.3.
Los dos avisos los firma Wordfence y constan en la base de datos de vulnerabilidades del NIST (el Instituto Nacional de Estándares y Tecnología de EE. UU.), que publicó el del XSS el 2 de octubre y el de los shortcodes el 3. Cuando se hicieron públicos, las versiones corregidas ya estaban en el repositorio de WordPress.org: la 5.0.2 desde el 23 de septiembre y la 5.0.2.1 desde el 1 de octubre. El 7 de octubre salió la 5.0.3, con más ajustes de seguridad.
Cualquier visitante puede ejecutar shortcodes desde la búsqueda
CVE-2026-100152 afecta a todas las versiones hasta la 5.0.2 incluida. Wordfence le da un 6,5 sobre 10 (CVSS 3.1, gravedad media); el NIST aún no ha publicado su propia valoración. Según la descripción, el plugin permite ejecutar una acción que no valida un valor antes de pasarlo a do_shortcode, así que «un atacante no autenticado puede ejecutar shortcodes arbitrarios». Hay una condición: las migas de pan de AIOSEO tienen que mostrarse en la página de resultados de búsqueda de WordPress, con el bloque, el widget, el shortcode o la etiqueta de plantilla. Si el tema no las muestra ahí, el fallo no se puede explotar.
Un shortcode es una etiqueta entre corchetes que WordPress sustituye por la salida de una función. Quien puede ejecutar los que quiera activa funciones de otros plugins o del tema que no estaban pensadas para visitantes anónimos. Lo corrige la 5.0.2.1, cuyo registro de cambios se limita a «mejoradas las protecciones de seguridad para los shortcodes en las páginas de búsqueda».
El XSS del panel SEO Preview exige que lo abra un gestor de SEO
CVE-2026-85492 afecta hasta la 5.0.1.1 incluida y tiene un 6,1 (media), también según Wordfence. Es un cross-site scripting (XSS) basado en DOM que entra por la ruta de la URL y que se debe a un saneado de entrada y un escapado de salida insuficientes. El atacante no necesita cuenta para meter un script en una URL manipulada. Para que se ejecute, la víctima tiene que tener la capacidad aioseo_manage_seo, la de quien gestiona el SEO de la web, y abrir el panel SEO Preview de la barra de administración mientras visita esa URL. Lo corrige la 5.0.2, que en su registro de cambios menciona mejoras de seguridad y de control de acceso en SEO Revisions, SEO Analysis y SEO Preview.
El fallo de los shortcodes no pide cuenta ni interacción
Ninguno de los dos avisos habla de explotación activa, y las dos puntuaciones son medias. El XSS depende de engañar a alguien con permisos concretos. El de los shortcodes, no: basta con que el tema muestre las migas de pan en la búsqueda, y un plugin de SEO corre en todas las páginas públicas de la web. Es el más urgente de los dos.
Qué hacer
| Fallo | Gravedad | Versiones afectadas | Corregido en | Condición |
|---|---|---|---|---|
| CVE-2026-100152, shortcodes arbitrarios | 6,5 (media) | Hasta la 5.0.2 | 5.0.2.1 | Migas de pan de AIOSEO en la página de búsqueda |
| CVE-2026-85492, XSS basado en DOM | 6,1 (media) | Hasta la 5.0.1.1 | 5.0.2 | Un gestor de SEO abre SEO Preview en una URL manipulada |
Actualizar a la 5.0.2.1 o posterior cierra los dos fallos. La 5.0.3, del 7 de octubre, añade mejoras de seguridad y de control de acceso en el generador de imágenes con IA y en las versiones Markdown (.md) de las entradas. También elimina código de esquema de migas de pan que no se usaba y se ejecutaba en cada carga de página. Si tu web muestra las migas de pan de AIOSEO en la plantilla de búsqueda y no puedes actualizar enseguida, quítalas de esa plantilla: así desaparece la condición del primer fallo mientras tanto.