Podatności All-in-One Video Gallery
3 znanych podatności CVE w All-in-One Video Gallery, przetłumaczonych i ocenionych.
- CVE-2026-114693Średnie
Wtyczka WordPress 'All-in-One Video Gallery' (wersje do 4.9.7) jest podatna na trwały atak XSS (Stored XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Złośliwy skrypt zapisany w bazie danych jest wykonywany u użytkowników odwiedzających stronę.
- CVE-2026-19075Średnie
Wtyczka All-in-One Video Gallery rejestruje publiczny, nieuwierzytelniony moduł pobierania plików wyzwalany przez `?vdl=<post_id>` na dowolnym poście `aiovg_videos`. Moduł ten odczytuje wartość meta `mp4` i przesyła odpowiedź z tego adresu URL z powrotem do żądającego.
- CVE-2026-12123Średnie
Wtyczka All-in-One Video Gallery dla WordPressa do wersji 4.8.5 włącznie zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) przez parametr 'vdl'. Uwierzytelniony atakujący z dostępem na poziomie subskrybenta może wysyłać żądania do dowolnych lokalizacji, w tym do wewnętrznych usług, oraz odczytywać ich odpowiedzi.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS