CVE-2026-12123
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka All-in-One Video Gallery dla WordPressa do wersji 4.8.5 włącznie zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) przez parametr 'vdl'. Uwierzytelniony atakujący z dostępem na poziomie subskrybenta może wysyłać żądania do dowolnych lokalizacji, w tym do wewnętrznych usług, oraz odczytywać ich odpowiedzi.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do skanowania wewnętrznej sieci, odczytywania danych z usług wewnętrznych (np. metadane chmury) lub modyfikowania stanu wewnętrznych systemów, co może prowadzić do wycieku danych lub eskalacji uprawnień.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę All-in-One Video Gallery do najnowszej dostępnej wersji, która usuwa tę podatność. Do czasu aktualizacji ogranicz dostęp do endpointu '?vdl=' dla niezaufanych użytkowników.
Inne podatności w All-in-One Video Gallery
Zobacz wszystkie- CVE-2026-118629Średnie
Wtyczka WordPress All-in-One Video Gallery w wersji przed 5.0.0 nie sprawdza statusu publikacji filmu przed wyrenderowaniem go na stronie odtwarzacza. Umożliwia to nieuwierzytelnionym użytkownikom wyświetlenie tytułu i adresów źródłowych prywatnych, roboczych, oczekujących, zaplanowanych i usuniętych filmów na podstawie ich identyfikatora.
- CVE-2026-114693Średnie
Wtyczka WordPress 'All-in-One Video Gallery' (wersje do 4.9.7) jest podatna na trwały atak XSS (Stored XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Złośliwy skrypt zapisany w bazie danych jest wykonywany u użytkowników odwiedzających stronę.
- CVE-2026-19075Średnie
Wtyczka All-in-One Video Gallery rejestruje publiczny, nieuwierzytelniony moduł pobierania plików wyzwalany przez `?vdl=<post_id>` na dowolnym poście `aiovg_videos`. Moduł ten odczytuje wartość meta `mp4` i przesyła odpowiedź z tego adresu URL z powrotem do żądającego.
Oryginalny opis (angielski, źródło NVD)
The All-in-One Video Gallery plugin for WordPress is vulnerable to Server-Side Request Forgery in all versions up to, and including, 4.8.5 via the 'vdl' parameter. This makes it possible for authenticated attackers, with subscriber-level access and above, to make web requests to arbitrary locations originating from the web application and can be used to query and modify information from internal services. A Subscriber-level attacker can plant an internal or loopback URL in the `mp4` post meta of a newly created `aiovg_videos` post via XML-RPC `wp.newPost`, then trigger the unauthenticated `?vdl=<post_id>` endpoint to force the server to fetch that URL and stream the full response body back to the requester.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS