CVE-2026-12135
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka FV Flowplayer Video Player dla WordPress jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez atrybut 'align' w shortcode'u 'video_player' we wszystkich wersjach do 7.5.51.7212 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia dla atrybutów dostarczanych przez użytkownika.
Ocena ryzyka
Uwierzytelnieni atakujący z dostępem na poziomie współautora lub wyższym mogą wstrzykiwać dowolne skrypty webowe na stronach, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony, co może prowadzić do kradzieży sesji, defacementu lub dalszej kompromitacji witryny.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę FV Flowplayer Video Player do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest dostępna, tymczasowo wyłącz wtyczkę lub ogranicz dostęp do shortcode'u 'video_player' tylko dla zaufanych użytkowników.
Inne podatności w FV Flowplayer Video Player
Zobacz wszystkie- CVE-2026-97398Wysokie
Wtyczka FV Flowplayer Video Player dla WordPressa do wersji 7.5.54.7212 włącznie jest podatna na Stored Cross-Site Scripting przez atrybut 'synopsis' w shortcode, z powodu niedostatecznej sanityzacji i escapowania. Atak wymaga włączenia opcji 'Parse Vimeo and YouTube links' i ustawienia atrybutu liststyle na 'season'.
- CVE-2026-97630Średnie
Wtyczka FV Flowplayer Video Player dla WordPressa jest podatna na przechowywany atak XSS przez niecytowany atrybut shortcode'u popup we wszystkich wersjach do 7.5.54.7212 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie do zainfekowanej strony. Skuteczne wykorzystanie wymaga włączenia opcji profile_videos_enable_bio, ponieważ wykonanie skryptu następuje na stronie bio/archiwum autora, gdzie renderowany jest shortcode profilowego wideo.
- CVE-2026-42695Średnie
Wtyczka FV Flowplayer Video Player dla WordPressa (do wersji 7.5.54.7212) nie neutralizuje poprawnie danych wejściowych podczas generowania stron, co umożliwia atak typu Stored XSS. Złośliwy kod JavaScript może zostać trwale zapisany i wykonany w przeglądarce użytkownika.
- CVE-2026-49773Średnie
W FV Flowplayer Video Player w wersjach poniżej 7.5.51.7212 występuje podatność typu Cross Site Scripting (XSS) dla subskrybentów.
- CVE-2026-7556Wysokie
Wtyczka FV Flowplayer Video Player dla WordPressa jest podatna na trwałe Cross-Site Scripting (XSS) przez tekst komentarza we wszystkich wersjach do 7.5.49.7212 włącznie, z powodu niedostatecznej sanitacji wejścia i ucieczki wyjścia. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty, które wykonają się po zatwierdzeniu komentarza przez administratora.
Oryginalny opis (angielski, źródło NVD)
The FV Flowplayer Video Player plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'video_player' shortcode 'align' attribute in all versions up to, and including, 7.5.51.7212 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS