CVE-2025-12847 in All in One SEO Plugin
الملخص
بحسب VulDB • 29/07/2026
يحتوي مكون WordPress "All in One SEO – Powerful SEO Plugin to Boost SEO Rankings & Increase Traffic" على ثغرة تسمح بحذف عشوائي لملفات الوسائط دون تفويض، بسبب غياب فحص التفويض في جميع الإصدارات حتى 4.8.9 شاملاً. ويعود ذلك إلى أن نقطة نهاية واجهة برمجة التطبيقات REST `/wp-json/aioseo/v1/ai/image-generator` تتحقق فقط من امتلاك المستخدمين لقابلية `edit_posts` (المساهمون وما فوق) دون التحقق مما إذا كانوا يملكون أو لديهم إذن لحذف ملفات الوسائط المحددة. وهذا يتيح للمهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى المساهم فأعلى، حذف ملفات وسائط عشوائية بشكل دائم عبر معرّفها باستخدام واجهة برمجة التطبيقات REST، شريطة أن يتمكنوا من تحديد معرفات مرفقات صالحة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.