何が起きたか
NVDは2026-10-03にCVE-2026-100152（CVSS 6.5）を公開しました。これはAll in One SEO AIプラグインのバージョン5.0.2までのパンくずリストコンポーネントにおける任意ショートコード実行に関するものです。
なぜ重要か
AI SEOプラグインでのショートコード実行は、認証されていないハンドラを呼び出し、ページコンテンツの改ざんや、プラグインのAI駆動型SEO機能を使用するサイトでのデータ漏えいに悪用される可能性があります。ニッチな脆弱性ですが、精度の高いCVEとして保持します。
攻撃経路
パンくずリストのレンダリングパスでは、ユーザーの影響を受ける入力から任意のショートコードを実行できるため、攻撃者は認証されていないショートコードハンドラを実行し、機密データを出力したり、予期しない操作を実行したりする可能性があります。
影響を受けるシステム
All in One SEO - AI SEO Plugin to Boost SEO Rankings & Traffic WordPressプラグイン <= 5.0.2
緩和策
利用可能になり次第、5.0.2以降に更新してください。参照: https://plugins.trac.wordpress.org/browser/all-in-one-seo-pack/tags/5.0.2/app/Common/Breadcrumbs/Breadcrumbs.php#L242