5.3 Moyenne

CVE-2026-119259 All-in-One Video Gallery < 5.1.0 - Unauthenticated Views and Duration Post Meta Write

Description

The All-in-One Video Gallery WordPress plugin before 5.1.0 does not check the type, status or ownership of the target post before writing its view count and duration meta, allowing unauthenticated visitors to create or change that meta on any post, including private and draft posts, and to inflate the view count without limit.

Détail CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Exploitable à distance par le réseau, sans compte et sans action d’un utilisateur ; l’impact sur les données ou le service reste limité.

Vecteur d’attaque: Réseau
Complexité: Faible
Privilèges requis: Aucun
Interaction: Aucune
Portée: Inchangée
Confidentialité: Aucun
Intégrité: Faible
Disponibilité: Aucun

Produits et versions touchés

Produit	Versions touchées	Corrigé en
All-in-One Video Gallery 5.1	premières → < 5.1.0	5.1.0

Références

wpscan.com wpscan.com

Chronologie

Publiée 6 novembre 2026
Dernière modification 6 novembre 2026

Les 6 CVE de All-in-One Video Gallery →

CVE-2026-120408 All-in-One Video Gallery < 5.1.0 - Subscriber+ Stored XSS via 'image' Post Meta 8.0 Élevée CVE-2026-118783 All-in-One Video Gallery < 5.0.0 - Contributor+ Stored XSS via Shortcode Attribute 6.8 Moyenne CVE-2026-118629 The All-in-One Video Gallery WordPress plugin before 5.0.0 does not check a video's publication status before rendering… 5.3 Moyenne CVE-2026-19075 All-in-One Video Gallery registers a public, unauthenticated file-download handler triggered by `?vdl=` on any… 5.0 Moyenne

Suivre cette CVE