CVE-2026-19075
ŚrednieCVSS 5.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka All-in-One Video Gallery rejestruje publiczny, nieuwierzytelniony moduł pobierania plików wyzwalany przez `?vdl=<post_id>` na dowolnym poście `aiovg_videos`. Moduł ten odczytuje wartość meta `mp4` i przesyła odpowiedź z tego adresu URL z powrotem do żądającego.
Ocena ryzyka
Nieuwierzytelniony atakujący może pobrać dowolne pliki wideo wskazane w meta danych, co może prowadzić do ujawnienia poufnych treści.
Rekomendacja
Zaktualizuj wtyczkę do najnowszej wersji i ogranicz dostęp do modułu pobierania, jeśli to możliwe.
Oryginalny opis (angielski, źródło NVD)
All-in-One Video Gallery registers a public, unauthenticated file-download handler triggered by `?vdl=<post_id>` on any `aiovg_videos` post (`public/video.php`, `AIOVG_Public_Video::download_video()`), which reads the post's `mp4` meta value and streams that URL's response back to the requester.