Уразливість SSRF у плагіні All-in-One Video Gallery для WordPress (CVE-2026-12123)

Що відомо

Плагін All-in-One Video Gallery для WordPress до версії 4.8.5 включно містить уразливість Server-Side Request Forgery (SSRF) через параметр 'vdl'. Аутентифіковані користувачі з рівнем підписника можуть змусити сервер робити запити до довільних внутрішніх або зовнішніх ресурсів.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам з правами підписника виконувати запити від імені сервера до внутрішніх сервісів, що може призвести до витоку або модифікації конфіденційної інформації. Власники інфраструктури ризикують компрометацією внутрішніх систем через непрямий доступ, що ускладнює виявлення атаки.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити доступ користувачів з рівнем підписника та вище, провести аудит логів на наявність підозрілих запитів, а також обмежити можливість зовнішніх запитів з сервера. Пріоритезуйте виправлення цієї уразливості у планах безпеки.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference