Plugin Rank Math SEO 1.0.275 corrige falha de Cross-Site Scripting armazenado
O que fazer
Outra falha do Rank Math SEO, publicada em 28/08, foi corrigida na 1.0.277: atualizando para ela, você resolve as duas. Ver aviso
- Afeta
- Sites com o Rank Math SEO anterior à 1.0.275
- Quem faz
- Você, em qualquer plano: o que é do site é sempre seu
- Ação
- Atualizar o Rank Math SEO para a 1.0.277 ou superiorA mais recente hoje é a 1.0.280.
- Prazo
- Até 07/08já passou7 dias após a publicação. Se ainda não atualizou, atualize agora.
- Exploração
- Pela internet · sem login · depende de alguém clicar ou abrir algo
Passo a passo
- Se o seu site usa o Rank Math SEO, atualize o plugin pelo painel do WordPress para a versão 1.0.275 ou superior.
Onde vejo a versão: em Plugins › Plugins instalados, logo abaixo do nome de cada plugin.
Administra pelo terminal? Comandos do WP-CLI
- Ver a versão
wp plugin get seo-by-rank-math --field=version - Atualizar
wp plugin update seo-by-rank-math
O que aconteceu
O plugin Rank Math SEO para WordPress tem uma vulnerabilidade de Cross-Site Scripting armazenado (CVE-2026-66702, severidade alta, CVSS 7.1) nas versões anteriores à 1.0.275. A falha permite que pessoas sem login insiram códigos maliciosos em páginas do site, que são executados quando alguém acessa essas páginas. Precisa se preocupar quem usa esse plugin em sites WordPress, em qualquer plano.
Fonte: registro na Wordfence Intelligence. Copyright 2012–2026 Defiant Inc. Uso conforme a licença da Wordfence Intelligence.
Trecho do aviso original, em inglês
The Rank Math SEO – AI SEO Tools to Dominate SEO Rankings plugin for WordPress is vulnerable to Stored Cross-Site Scripting in versions up to, and including, 1.0.274.1 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Título original e fonte
ENRank Math SEO < 1.0.275: Unauthenticated Stored Cross-Site Scripting
Versões
- Afetadas
- < 1.0.275
- Corrigida em
- 1.0.275
- Mais recente
- 1.0.280
O que são esses termos?
- CVE
- Código único de uma falha de segurança, como CVE-2026-12345. Serve para achar a mesma falha em qualquer fonte.
- CVSS
- Nota de 0 a 10 que mede a gravidade técnica de uma falha. De 9 a 10 é crítica; de 7 a 8,9, alta; de 4 a 6,9, média; abaixo de 4, baixa.
- Exploração
- Como a falha pode ser explorada: pela internet ou só com acesso ao servidor, com ou sem login, com ou sem ajuda de alguém.
- Prazo
- Prazo recomendado para quem precisa agir, contado da publicação. Crítica ou KEV: imediatamente; Alta: em até 7 dias; Média: em até 30 dias; Baixa: na próxima atualização de rotina; Sem nota oficial: em até 7 dias. Vale para o que é do site (WordPress e plugins) em qualquer plano e, no que é do servidor, só para VPS e Cloud: na hospedagem e na revenda, quem atualiza o servidor é a Rapid Cloud.