CVE-2025-12847 in All in One SEO Plugin
Sumário
de VulDB • 25/06/2026
O plugin All in One SEO – Powerful SEO Plugin to Boost SEO Rankings & Increase Traffic para WordPress é vulnerável à exclusão não autorizada de anexos de mídia arbitrários devido a uma verificação de autorização ausente em todas as versões até, e incluindo, 4.8.9. Isso ocorre porque o endpoint da REST API `/wp-json/aioseo/v1/ai/image-generator` verifica apenas se os usuários possuem a capacidade `edit_posts` (Colaboradores e superiores), sem verificar se eles são proprietários ou têm permissão para excluir os anexos de mídia específicos. Isso permite que atacantes autenticados, com acesso nível Colaborador ou superior, excluam permanentemente anexos de mídia arbitrários por ID via REST API, desde que consigam determinar IDs válidos dos anexos.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.