→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-118629 · all-in-one-video-gallery
افشای عنوان و نشانی منبع ویدیوهای خصوصی در افزونه All-in-One Video Gallery
افزونه All-in-One Video Gallery در نسخه‌های ۵.۰.۰ و قبل از آن، پیش از نمایش ویدیو در صفحه پخش‌کننده وضعیت انتشار آن را بررسی نمی‌کند. به همین دلیل کاربران احراز هویت‌نشده می‌توانند تنها با شناسه ویدیو، عنوان و نشانی منبع ویدیوهای خصوصی، پیش‌نویس، در انتظار بررسی، زمان‌بندی‌شده و حذف‌شده را ببینند و محتوای محرمانه سایت افشا شود. وصله رسمی هنوز منتشر نشده است؛ تا زمان ارائه به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا دسترسی به صفحه پخش‌کننده را با فایروال وب محدود نمایید.
نسخه‌های تحت تأثیر
<= 5.0.0
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته all-in-one-video-gallery را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.