WordPress · All-In-One Video Gallery · CVE-2022-2633
**Nome do software vulnerável e versões afetadas**
Plugin All-in-One Video Gallery para versões do WordPress até a 2.6.0, inclusive
**Descrição**
A vulnerabilidade permite que usuários não autenticados baixem arquivos confidenciais hospedados no servidor afetado e falsifiquem solicitações ao servidor por meio do parâmetro `dl` encontrado no arquivo ~/public/video.php. Isso permite downloads arbitrários de arquivos e falsificação cega de solicitações do lado do servidor.
**Recomendações**
Para versões até a 2.6.0, inclusive, considere desativar o acesso ao arquivo ~/public/video.php ou restringir o uso do parâmetro `dl` até que um patch esteja disponível. Evite usar o parâmetro `dl` no endpoint da API afetado até que o problema seja resolvido.