CVE-2026-12123

Nome do Software Vulnerável e Versões Afetadas All-in-One Video Gallery versões anteriores a 4.8.6

Description O plugin All-in-One Video Gallery para WordPress contém uma falha de Server-Side Request Forgery (SSRF). Este problema permite que usuários autenticados com nível de acesso de assinante ou superior iniciem requisições web para locais arbitrários a partir da aplicação web, possivelmente permitindo a consulta e modificação de informações de serviços internos. Um invasor pode realizar isso inserindo uma URL interna ou de loopback nos metadados mp4 de um novo post aiovg videos usando a função XML-RPC wp.newPost e, posteriormente, acionando o endpoint ?vdl= para forçar o servidor a buscar a URL e retornar o corpo completo da resposta.

Recommendations Atualize o plugin para uma versão posterior a 4.8.5. Como mitigação temporária, restrinja o acesso ao endpoint ?vdl= ou limite o uso do parâmetro vdl.