CVE-2026-118629
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress All-in-One Video Gallery w wersji przed 5.0.0 nie sprawdza statusu publikacji filmu przed wyrenderowaniem go na stronie odtwarzacza. Umożliwia to nieuwierzytelnionym użytkownikom wyświetlenie tytułu i adresów źródłowych prywatnych, roboczych, oczekujących, zaplanowanych i usuniętych filmów na podstawie ich identyfikatora.
Ocena ryzyka
Nieuwierzytelnieni użytkownicy mogą uzyskać dostęp do informacji o niepublicznych filmach, co może prowadzić do wycieku poufnych treści. Może to naruszyć poufność materiałów wideo organizacji.
Rekomendacja
Zaktualizuj wtyczkę All-in-One Video Gallery do wersji 5.0.0 lub nowszej. Sprawdź, czy niepubliczne filmy nie zostały ujawnione.
Inne podatności w All-in-One Video Gallery
Zobacz wszystkie- CVE-2026-114693Średnie
Wtyczka WordPress 'All-in-One Video Gallery' (wersje do 4.9.7) jest podatna na trwały atak XSS (Stored XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Złośliwy skrypt zapisany w bazie danych jest wykonywany u użytkowników odwiedzających stronę.
- CVE-2026-19075Średnie
Wtyczka All-in-One Video Gallery rejestruje publiczny, nieuwierzytelniony moduł pobierania plików wyzwalany przez `?vdl=<post_id>` na dowolnym poście `aiovg_videos`. Moduł ten odczytuje wartość meta `mp4` i przesyła odpowiedź z tego adresu URL z powrotem do żądającego.
- CVE-2026-12123Średnie
Wtyczka All-in-One Video Gallery dla WordPressa do wersji 4.8.5 włącznie zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) przez parametr 'vdl'. Uwierzytelniony atakujący z dostępem na poziomie subskrybenta może wysyłać żądania do dowolnych lokalizacji, w tym do wewnętrznych usług, oraz odczytywać ich odpowiedzi.
Oryginalny opis (angielski, źródło NVD)
The All-in-One Video Gallery WordPress plugin before 5.0.0 does not check a video's publication status before rendering it on its player page, allowing unauthenticated users to view the title and source URLs of private, draft, pending, scheduled and trashed videos by their ID.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS