All in One SEO mit über 2 Millionen Installationen: Sicherheitslücke legt versteckte Zusatzfelder offen

Über das Suchfeld einer Website konnten Fremde ohne Anmeldung Werte aus versteckten Zusatzfeldern von Beiträgen auslesen, wenn dort das SEO-Plugin All in One SEO lief. Wordfence hat die Sicherheitslücke am 30. Oktober offengelegt. Version 5.0.4 vom 22. Oktober behebt sie, das Änderungsprotokoll erwähnt die Korrektur allerdings mit keinem Wort.

All in One SEO, kurz AIOSEO, steuert auf WordPress-Websites Seitentitel, Meta-Beschreibungen, strukturierte Daten und Sitemaps. Laut wordpress.org läuft das Plugin auf über 2 Millionen Websites. Die Lücke trägt die Kennung CVE-2026-109367, Wordfence bewertet sie nach CVSS 3.1 mit 5,3 von 10 Punkten, also mittel. Angreifer können damit nur lesen, nicht schreiben: Inhalte verändern oder Code einschleusen lässt sich darüber nicht.^[1]

Wie gelangten versteckte Werte in den Seitentitel?

All in One SEO baut Seitentitel aus Vorlagen mit Platzhaltern, die das Plugin beim Aufruf durch echte Werte ersetzt: Titel des Beitrags, Name der Website, Datum. Ein Platzhalter holt auch den Inhalt eines Zusatzfelds, das WordPress auf Deutsch „individuelles Feld“ nennt. Die Vorlage für die Suchergebnisseite setzt ab Werk den Suchbegriff des Besuchers ein.^[2]

Genau dort lag der Fehler. Bis Version 5.0.3 wertete das Plugin die Vorlage nach dem Einsetzen des Suchbegriffs ein zweites Mal aus. Tippte ein Besucher selbst einen Platzhalter ins Suchfeld, ersetzte AIOSEO auch diesen. So landete der Wert eines beliebigen Zusatzfelds im Titel der Suchergebnisseite und in deren strukturierten Daten.^[1] Welche Felder das waren, bestimmte der Angreifer. Version 5.0.4 entschärft im Suchbegriff das Zeichen, mit dem ein Platzhalter beginnt, sodass das Plugin den Suchbegriff nur noch als Text behandelt, wie ein Vergleich des Quellcodes mit der Vorgängerversion zeigt.^[2]

Gemeldet hat die Lücke ein Sicherheitsforscher unter dem Pseudonym Santh. Wordfence informierte den Hersteller am 12. Oktober, zehn Tage später erschien das Update.^[1] Im Änderungsprotokoll von Version 5.0.4 stehen Korrekturen an Weiterleitungen, an der Rechtschreibprüfung und an der Tabellenansicht, ein Hinweis auf eine Sicherheitslücke fehlt. Betreiber, die Updates nach dem Protokoll ordnen, hatten keinen Grund zur Eile.^[2]

Was steht in den Zusatzfeldern einer WordPress-Website?

Zusatzfelder sind der Ablageplatz, den WordPress jedem Beitrag mitgibt. Viele Plugins speichern dort Einstellungen, Zähler, Notizen der Redaktion oder Zugangsdaten für angebundene Dienste. Ein Teil davon ist nie für Besucher gedacht. Wordfence nennt als Beispiele API-Schlüssel und interne Notizen.^[1] Was genau auf einer Website abfließen konnte, hängt deshalb davon ab, welche Plugins dort Daten in Zusatzfeldern ablegen.

Der Wert von 5,3 erklärt sich aus dem Bewertungsschema. Der Angriff gelingt über das Netz, ohne Konto und ohne Zutun eines Nutzers, trifft aber nur die Vertraulichkeit und auch die nur begrenzt.^[1] Für eine einzelne Website kann die Folge trotzdem schwerer wiegen: Ein abgeflossener API-Schlüssel öffnet unter Umständen den Zugang zu einem Newsletter-Dienst, einem Zahlungsanbieter oder einer KI-Schnittstelle, die pro Anfrage abrechnet.

Für All in One SEO ist es nicht der erste Fund in kurzer Zeit. Am 1. Oktober schloss Version 5.0.2.1 eine Lücke, über die Fremde ohne Anmeldung Shortcodes ausführen konnten. Dr. Web berichtete über die Shortcode-Lücke in All in One SEO, Version 5.0.2 vom 23. September hatte zuvor eine Lücke in der SEO-Vorschau behoben. Version 5.0.3 verbesserte laut Änderungsprotokoll den Zugriffsschutz im KI-Bildgenerator.^[2] Beim Konkurrenten Rank Math legte Wordfence im Oktober eine schwere Lücke offen, über die Konten mit Mitarbeiter-Rechten Zugriff auf den Server erlangen konnten. SEO-Plugins greifen auf jede Seite und fast alle Felder zu, deshalb wiegt dort jeder Fehler in der Rechteprüfung oder in der Ausgabe besonders schwer.

Was sollten Website-Betreiber jetzt tun?

• Aktualisieren: Spielen Sie Version 5.0.4 oder neuer ein und prüfen Sie unter Plugins, ob automatische Updates für All in One SEO aktiv sind.
• Zusatzfelder sichten: Klären Sie, welche Plugins Zugangsdaten oder interne Angaben in Zusatzfeldern von Beiträgen speichern. Ersetzen Sie dort hinterlegte API-Schlüssel, wenn die Website vor dem Update längere Zeit auf einer anfälligen Version lief.
• Datenschutz prüfen: Liegen in Zusatzfeldern personenbezogene Daten, prüfen Sie bei Anzeichen eines Abflusses die Meldepflicht nach Art. 33 DSGVO, die 72 Stunden nach Bekanntwerden läuft.
• Kundenwebsites einplanen: Agenturen sollten alle betreuten Installationen aktualisieren, auch wenn das Änderungsprotokoll keinen Sicherheitsfix ausweist.

Laut der Versionsstatistik von wordpress.org liefen am 31. Oktober 52,6 Prozent der Installationen auf der Versionsreihe 5.0, darunter auch die anfälligen Unterversionen bis 5.0.3. Die übrigen 47,4 Prozent verteilten sich auf ältere Reihen und sind durchweg anfällig.^[2] Im Katalog aktiv ausgenutzter Schwachstellen der US-Behörde CISA steht die Lücke nicht.^[3] Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen, der WordPress-Hosting-Vergleich nennt Managed-Hoster, die Plugin-Updates selbst einspielen. Einen Überblick über die Alternativen gibt der Vergleich der WordPress-SEO-Plugins.

FAQ: All in One SEO mit über 2 Millionen Installationen: Sicherheitslücke legt versteckte Zusatzfelder offen

Quellen

Mehr Newshunger?

• All in One SEO: Lücke ohne Login im SEO-Plugin mit über 2 Millionen Installationen
• Rank Math mit über 4 Millionen Installationen: Schwere Sicherheitslücke öffnet Mitarbeiter-Konten den Server
• Popup Builder mit über 200.000 Installationen: Sicherheitslücke schickt alle Popups in den Papierkorb
• Google, Bing und OpenAI wollen eine gemeinsame robots.txt-Regel gegen KI-Training beachten