VULNERABILIDADDetectada 31 OCT · 07:22

CVE-2026-109367 Exposición de información sensible en All in One SEO vía el parámetro 's'

El plugin All in One SEO para WordPress emite valores de metadatos de entradas no públicos, como claves de API y notas internas, en el título HTML y en el esquema JSON-LD SearchResultsPage, permitiendo a atacantes no autenticados extraerlos mediante el parámetro de búsqueda 's'.

5.3MEDIA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/110,3 % · percentil 20
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

smub All in One SEO – AI SEO Plugin to Boost SEO Rankings & Traffic (Schema, Local SEO, Sitemap & SEO Ins
hasta 5.0.3

Qué hacer

Verificá si usás All in One SEO – AI SEO Plugin to Boost SEO Rankings & Traffic (Schema, Local SEO, Sitemap & SEO Ins y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 5.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosNinguno
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadBaja
IntegridadNinguna
DisponibilidadNinguna

Descripción original

The All in One SEO – AI SEO Plugin to Boost SEO Rankings & Traffic (Schema, Local SEO, Sitemap & SEO Insights) plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 5.0.3 via the 's' parameter. This makes it possible for unauthenticated attackers to extract arbitrary non-public post meta values, including sensitive custom fields such as API keys and internal notes, emitted verbatim into the HTML title element and JSON-LD SearchResultsPage schema.

Referencias (8)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.