ثغرتان في All in One SEO: حدّث إلى 5.0.2.1 الآن

لو موقعك عليه إضافة All in One SEO، فيه حاجة لازم تعملها النهارده قبل ما تكمل قراية. اتكشفت ثغرتين في الإضافة، واحدة منهم ممكن يستغلها أي حد من غير ما يكون عنده حساب على موقعك. الخبر الحلو إن الحل تحديث واحد، والمقال ده هيقولك تتأكد إزاي إنك في الأمان.

الخلاصة السريعة: ماذا تفعل الآن؟

الخلاصة السريعة: حدّث All in One SEO إلى الإصدار 5.0.2.1 على الأقل، والأفضل إلى أحدث إصدار متاح في لوحة التحكم. الإصدارات حتى 5.0.2 متأثرة بثغرة تنفيذ الأكواد القصيرة، والإصدارات حتى 5.0.1.1 متأثرة بالثغرتين معًا.

الإضافة (Plugin) مثبتة على أكثر من مليوني موقع، وكل ثغرة فيها تُستهدف بسرعة بعد إعلانها. التحديث هنا لا يغيّر إعداداتك ولا يمس محتواك.

الثغرة الأولى: تنفيذ أكواد قصيرة دون تسجيل دخول

تحمل الرقم CVE-2026-100152 ودرجة خطورة 6.5 من 10 على مقياس CVSS، أي «متوسطة». تؤثر على كل الإصدارات حتى 5.0.2، ونُشر سجلها الرسمي في 3 أكتوبر 2026.

المشكلة أن الإضافة تمرر قيمة إلى دالة do_shortcode دون أن تتحقق منها أولًا. والكود القصير (Shortcode) هو تعليمة تطلب من ووردبريس تشغيل وظيفة ما، فإذا استطاع زائر مجهول أن يحدد أي كود قصير يُنفَّذ، صار بإمكانه تشغيل وظائف لم تقصد إتاحتها.

متى يكون موقعك معرضًا فعلًا؟

حسب وصف Wordfence الذي نقله المصدر، الاستغلال يتطلب شرطًا محددًا: أن يظهر مسار التنقل (Breadcrumbs) الخاص بـ AIOSEO في صفحة نتائج البحث داخل موقعك. ويحدث ذلك بأي من الطرق الأربع: البلوك، أو الويدجت، أو الكود القصير، أو الوسم البرمجي (Template Tag) داخل القالب.

افحص هذه الأماكن في موقعك:

1. افتح صفحة بحث في موقعك، مثل https://example.com/?s=test، وانظر هل يظهر سطر مسار التنقل أعلى النتائج.
2. إن ظهر، تأكد أنه من AIOSEO وليس من القالب أو من إضافة أخرى.
3. راجع قالب صفحة البحث (search.php أو قالب الأرشيف في القالب الفرعي) بحثًا عن الدالة aioseo_breadcrumbs().

في Elementor: لو صممت صفحة نتائج البحث بـ Theme Builder، افتح قالب «Search Results» وابحث عن ويدجت Shortcode أو HTML يحتوي [aioseo_breadcrumbs]. هذا تحديدًا هو الاستخدام الذي يفتح الثغرة.

بصراحة: هذا الفحص يخبرك هل كنت معرضًا للخطر قبل التحديث، لكنه ليس بديلًا عنه. حتى لو لم تجد مسار التنقل في صفحة البحث، حدّث الإضافة.

الثغرة الثانية: حقن سكربت عبر لوحة SEO Preview

تحمل الرقم CVE-2026-85492 ودرجة 6.1، وهي من نوع البرمجة عبر المواقع (Cross-Site Scripting) المعروف اختصارًا بـ XSS، تحديدًا النوع الذي يعمل داخل المتصفح (DOM-based). تؤثر على الإصدارات حتى 5.0.1.1، وأُصلحت في 5.0.2.

السبب هنا غياب تنظيف المدخلات وتهريب المخرجات (Output Escaping) عند معالجة مسار الرابط. النتيجة: مهاجم يجهّز رابطًا خاصًا يحمل سكربتًا داخل مسار الـ URL.

لكن الاستغلال أصعب من الثغرة الأولى، لأنه يحتاج ثلاثة أشياء معًا:

• أن يفتح الضحية الرابط الخبيث وهو مسجّل دخوله.
• أن يملك الضحية الصلاحية (Capability) المسماة aioseo_manage_seo، أي صلاحية إدارة إعدادات السيو.
• أن يفتح لوحة SEO Preview (معاينة شكل الصفحة في نتائج البحث) من شريط أدوات المدير أثناء وجوده على تلك الصفحة.

لذلك الخطر الأكبر يقع على فرق المحتوى الكبيرة، حيث يملك أكثر من شخص صلاحية السيو وقد يصله رابط عبر بريد أو رسالة.

كيف تحدّث بأمان؟

التحديث نفسه دقيقة واحدة، لكن على متجر أو موقع عميل يستحق خطوتين احتياطيتين قبله.

1. خذ نسخة احتياطية (Backup) من الملفات وقاعدة البيانات، أو تأكد أن نسخة الاستضافة اليومية حديثة.
2. لو الموقع حساس، جرّب التحديث أولًا على بيئة الاختبار (Staging).
3. من لوحة التحكم اذهب إلى الإضافات ← الإضافات المنصّبة وحدّث All in One SEO. عبر سطر الأوامر:

wp plugin update all-in-one-seo-pack
wp plugin get all-in-one-seo-pack --field=version

4. تأكد أن رقم الإصدار 5.0.2.1 أو أعلى، ثم افتح صفحة بحث وصفحة مقال لتتأكد أن مسار التنقل والوسوم الوصفية تعمل.

ملاحظة: سجل تغييرات الإضافة، كما نقله المصدر، يذكر أن 5.0.2 أصلح الحماية في SEO Revisions وSEO Analysis وSEO Preview، وأن 5.0.2.1 حسّن الحماية من الأكواد القصيرة في صفحات البحث. بعض قواعد بيانات الثغرات توصي بـ 5.0.3 فما فوق، فأحدث إصدار متاح هو الخيار الأسلم.

لو تدير مواقع عملاء

عدد كبير من مستقلي ووردبريس في مصر والخليج يسلّمون الموقع ثم لا يعودون إليه، وتبقى الإضافات بلا تحديث لشهور. فعّل التحديث التلقائي لإضافات السيو والأمان تحديدًا من رابط «تفعيل التحديث التلقائي» بجوار الإضافة، أو اجعل التحديث بندًا ثابتًا في عقد الصيانة الشهري.

الأسئلة الشائعة

س: هل إضافة All in One SEO آمنة بعد التحديث؟
ج: الثغرتان المعلنتان أُصلحتا في 5.0.2 و5.0.2.1. لا توجد إضافة خالية من الثغرات للأبد، والمهم أن المطور أصدر الإصلاح، وأن تحدّث أنت بانتظام.

س: هل أحتاج تغيير كلمات المرور بعد الثغرة؟
ج: الثغرتان لا تكشفان كلمات المرور مباشرة. لكن لو لاحظت مستخدمين جددًا لا تعرفهم أو تغييرات غريبة في المحتوى، غيّر كلمات مرور المديرين وافحص الموقع بإضافة أمان.

س: كيف أعرف إصدار AIOSEO المثبت على موقعي؟
ج: من صفحة الإضافات المنصّبة يظهر الرقم أسفل اسم الإضافة، أو عبر الأمر wp plugin get all-in-one-seo-pack --field=version.

س: هل أستبدل AIOSEO بإضافة سيو أخرى؟
ج: ليس بسبب هذه الثغرة وحدها. كل إضافات السيو الكبيرة تُكتشف فيها ثغرات من وقت لآخر، والمعيار الأهم هو سرعة المطور في الإصلاح وسرعتك أنت في التحديث.

الخلاصة

ثغرة تنفيذ الأكواد القصيرة لا تحتاج حسابًا، لكنها مشروطة بظهور مسار التنقل في صفحة البحث. أما ثغرة XSS فتحتاج مديرًا يملك صلاحية السيو ويفتح لوحة المعاينة. الحل في الحالتين واحد: التحديث إلى 5.0.2.1 أو أحدث.

يعني افتح لوحة التحكم دلوقتي، حدّث، وبعدها كمّل يومك وانت مطمّن.

مراجع إضافية: CVE-2026-100152 — OpenCVE، CVE-2026-85492 — OpenCVE

مرجع المقال (بالإنجليزية): All In One SEO WordPress Plugin Vulnerable To Two Exploits
المقال ده مش ترجمة حرفية: متكيّف للقارئ العربي ومضاف عليه سياق ووردبريس وElementor وJetEngine.