CVE-2026-114693
ŚrednieCVSS 6.5Streszczenie
Wtyczka WordPress 'All-in-One Video Gallery' (wersje do 4.9.7) jest podatna na trwały atak XSS (Stored XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Złośliwy skrypt zapisany w bazie danych jest wykonywany u użytkowników odwiedzających stronę.
Ocena ryzyka
Trwały XSS może pozwolić na przejęcie kont użytkowników i administratorów, kradzież danych sesji oraz trwałe zainfekowanie witryny. Ryzyko jest wysokie, ponieważ skrypt jest przechowywany i wykonywany wielokrotnie.
Rekomendacja
Zaktualizuj wtyczkę 'All-in-One Video Gallery' do wersji nowszej niż 4.9.7 lub ją usuń. Sprawdź i oczyść bazę danych z potencjalnie wstrzykniętych skryptów.
Inne podatności w All-in-One Video Gallery
Zobacz wszystkie- CVE-2026-19075Średnie
Wtyczka All-in-One Video Gallery rejestruje publiczny, nieuwierzytelniony moduł pobierania plików wyzwalany przez `?vdl=<post_id>` na dowolnym poście `aiovg_videos`. Moduł ten odczytuje wartość meta `mp4` i przesyła odpowiedź z tego adresu URL z powrotem do żądającego.
- CVE-2026-12123Średnie
Wtyczka All-in-One Video Gallery dla WordPressa do wersji 4.8.5 włącznie zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) przez parametr 'vdl'. Uwierzytelniony atakujący z dostępem na poziomie subskrybenta może wysyłać żądania do dowolnych lokalizacji, w tym do wewnętrznych usług, oraz odczytywać ich odpowiedzi.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Plugins360 Labs All-in-One Video Gallery all-in-one-video-gallery allows Stored XSS.This issue affects All-in-One Video Gallery: from n/a through 4.9.7.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS