All in One SEO: две уязвимости, одна версия — и всё в порядке

Прочитал, что у All in One SEO для WordPress нашли две уязвимости — одну, которая позволяет выполнять произвольные короткие коды без авторизации, и вторую — DOM-межсайтовый скриптинг, но только при определённых действиях админа. Обе исправлены в версиях 5.0.2 и 5.0.2.1. Всё это касается сайтов с активной версией до 5.0.2.1, и таких — миллионы.

На мой взгляд, самое тревожное — не то, что уязвимость есть, а то, что она может быть использована без входа. Даже если требует отдельного условия, например, отображения хлебных крошек на странице поиска, это всё равно риск. А вот второй случай — уже не так критичен, потому что требует, чтобы админ открыл определённый инструмент в браузере. Но в целом — это не то, с чем можно ждать.

У себя уже проверил, какие клиенты используют эту версию. У тех, кто на старых, начал обновлять. Уже поставил в план на неделю — проверить всех, кто не на последней версии. Обновление — не просто «поставил» — это часть системы, где уязвимость не остаётся на месяц. Пока не проверил — не считаю, что всё в порядке.