CVE-2026-85345
ŚrednieCVSS 4.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka FV Flowplayer Video Player dla WordPressa przed wersją 7.5.55.7212 nie weryfikuje poprawnie adresu URL dostarczonego przez użytkownika przed wykonaniem pobierania po stronie serwera, a istniejące ograniczenie oparte na hoście nie obejmuje wszystkich przypadków, co pozwala użytkownikom z dostępem na poziomie Współautora i wyższym na przeprowadzanie ataków typu Server-Side Request Forgery (SSRF). Wpływ jest ograniczony do pół-ślepego wyroczni: pobieranie przez serwer ujawnia, czy zasób wewnętrzny odpowiada i jaki jest jego status HTTP, ale zawartość zasobu nie jest zwracana atakującemu.
Ocena ryzyka
Atakujący może sondować wewnętrzne zasoby sieciowe, uzyskując informacje o ich dostępności i statusie HTTP, co może pomóc w dalszych atakach na infrastrukturę wewnętrzną.
Rekomendacja
Zaktualizuj wtyczkę FV Flowplayer Video Player do wersji 7.5.55.7212 lub nowszej, która zawiera poprawkę walidacji URL i ograniczeń hosta.
Inne podatności w FV Flowplayer Video Player WordPress plugin
Zobacz wszystkie- CVE-2026-110533Średnie
Wtyczka FV Flowplayer Video Player dla WordPressa (wszystkie wersje do 7.5.55.7212) jest podatna na przechowywane XSS poprzez parametr 'fv_player_videos[_fv_player_user_video][]' z powodu niedostatecznej sanityzacji i ucieczki danych. Umożliwia to uwierzytelnionym atakującym z poziomem Subscriber i wyższym wstrzykiwanie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymaga to włączenia przez administratora ustawienia 'Allow visitors to upload videos to their profile'.
- CVE-2026-110001Średnie
Wtyczka FV Flowplayer Video Player dla WordPressa (wszystkie wersje do 7.5.55.7212) jest podatna na przechowywane XSS poprzez parametr 'comment (atrybut shortcode 'align')' z powodu niedostatecznej sanityzacji i ucieczki danych. Umożliwia to nieuwierzytelnionym atakującym wstrzykiwanie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymaga to włączenia przez administratora ustawienia 'Parse Vimeo and YouTube links'.
- CVE-2026-109984Średnie
Wtyczka FV Flowplayer Video Player dla WordPressa (wszystkie wersje do 7.5.55.7212) jest podatna na przechowywane XSS poprzez parametr 'comment' z powodu niedostatecznej sanityzacji i ucieczki danych. Umożliwia to nieuwierzytelnionym atakującym wstrzykiwanie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymaga to włączenia opcji 'Parse Vimeo and YouTube links' oraz zatwierdzenia komentarza przez administratora.
Oryginalny opis (angielski, źródło NVD)
The FV Flowplayer Video Player WordPress plugin before 7.5.55.7212 does not properly validate a user-supplied URL before performing a server-side fetch, and an existing host-based restriction fails to cover all cases, allowing users with Contributor-level access and above to perform Server-Side Request Forgery (SSRF) attacks. The impact is limited to a semi-blind oracle: the server's fetch reveals whether an internal resource responds and its HTTP status, but the resource's contents are not returned to the attacker.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS