CVE-2025-12847 in All in One SEO Plugin
요약
\~에 의해 VulDB • 2026. 07. 29.
WordPress용 All in One SEO – Powerful SEO Plugin to Boost SEO Rankings & Increase Traffic 플러그인은 4.8.9 버전까지 모든 버전에서 권한 확인 누락으로 인해 허가되지 않은 임의 미디어 첨부 파일 삭제 취약점이 있습니다. 이는 REST API 엔드포인트 `/wp-json/aioseo/v1/ai/image-generator`가 사용자가 `edit_posts` 능력(기여자 및 그 이상)을 가지고 있는지만 검증하고, 특정 미디어 첨부 파일을 소유했거나 삭제할 권한이 있는지는 확인하지 않기 때문입니다. 이로 인해 유효한 첨부 파일 ID를 확인할 수 있다면 Contributor 레벨 이상의 접근 권한을 가진 인증된 공격자가 REST API를 통해 임의의 미디어 첨부 파일을 영구적으로 삭제할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.