CVE-2026-19075

Nome do Software Vulnerável e Versões Afetadas All-in-One Video Gallery versões anteriores a 4.9.2

Description O software implementa um manipulador de download de arquivos público e não autenticado que permite Server-Side Request Forgery (SSRF). Isso ocorre quando a função AIOVG Public Video::download video() no arquivo public/video.php processa o parâmetro vdl em qualquer postagem aiovg videos. O sistema lê o valor meta mp4 da postagem e transmite a resposta dessa URL de volta ao solicitante.

Recommendations Atualize o All-in-One Video Gallery para a versão 4.9.2 ou posterior. Como mitigação temporária, restrinja o acesso ao parâmetro vdl no endpoint public/video.php.