PT-2026-47122 · WordPress · All-In-One Security

Dmitry Ignatyev · Publicado 2026-06-06 · Atualizado 2026-06-07 · CVE-2026-8438

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas All-In-One Security (AIOS) – Security and Firewall plugin for WordPress versões anteriores a 5.4.8

Description Ocorre Cross-Site Scripting (XSS) Armazenado devido à sanitização insuficiente de entrada na função get rest route() e à falta de escape de saída no método column default() da tabela de lista de logs de depuração. Quando o recurso 'Disable REST API for non-logged in users' (aiowps disallow unauthorized rest requests) e o log de depuração (aiowps enable debug) estão ambos ativados, um invasor não autenticado pode incorporar HTML ou JavaScript arbitrário no caminho da requisição REST. O caminho é recuperado via urldecode($ SERVER['REQUEST URI']), que decodifica payloads em caracteres HTML literais. Este valor não sanitizado é armazenado no banco de dados e posteriormente executado na sessão do navegador de um administrador quando este visualiza a página de Logs de Depuração do Painel AIOS. Isso pode levar ao roubo de nonces, ações AJAX/REST privilegiadas e comprometimento total do site.

Recommendations Atualize o plugin para uma versão posterior a 5.4.7. Como medida paliativa temporária, desative o log de depuração aiowps enable debug ou o recurso aiowps disallow unauthorized rest requests para evitar o armazenamento e a execução de scripts maliciosos.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-8438

Produtos afetados

All-In-One Security

Referências · 14

• https://plugins.trac.wordpress.org/browser/all-in-one-wp-security-and-firewall/tags/5.4.6/classes/wp-security-utility.php#L1547 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-8438 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/all-in-one-wp-security-and-firewall/tags/5.4.6/classes/wp-security-general-init-tasks.php#L887 · Nota
• https://t.me/cveNotify/166336 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/all-in-one-wp-security-and-firewall/trunk/classes/wp-security-debug-logger.php#L81 · Nota
• https://plugins.trac.wordpress.org/browser/all-in-one-wp-security-and-firewall/trunk/admin/wp-security-list-debug.php#L43 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/d2b7ed73-a654-40ef-8d80-6171393da8e7?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/all-in-one-wp-security-and-firewall/trunk/classes/wp-security-general-init-tasks.php#L887 · Nota
• https://plugins.trac.wordpress.org/browser/all-in-one-wp-security-and-firewall/trunk/classes/wp-security-utility.php#L1547 · Nota
• https://plugins.trac.wordpress.org/changeset/3558989 · Nota
• https://plugins.trac.wordpress.org/browser/all-in-one-wp-security-and-firewall/tags/5.4.6/admin/wp-security-list-debug.php#L43 · Nota
• https://t.me/CVEtracker/56042 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/all-in-one-wp-security-and-firewall/tags/5.4.6/classes/wp-security-debug-logger.php#L81 · Nota
• https://twitter.com/CVEnew/status/2063584079061078361 · Publicação no Twitter