CVE-2026-42695
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Wtyczka FV Flowplayer Video Player dla WordPressa (do wersji 7.5.54.7212) nie neutralizuje poprawnie danych wejściowych podczas generowania stron, co umożliwia atak typu Stored XSS. Złośliwy kod JavaScript może zostać trwale zapisany i wykonany w przeglądarce użytkownika.
Ocena ryzyka
Atakujący może przejąć sesje użytkowników, w tym administratorów, oraz wykonać działania w ich imieniu. Może to prowadzić do kradzieży danych lub przejęcia kontroli nad witryną.
Rekomendacja
Zaktualizuj wtyczkę FV Flowplayer Video Player do wersji nowszej niż 7.5.54.7212. Do czasu aktualizacji rozważ wyłączenie wtyczki.
Inne podatności w FV Flowplayer Video Player
Zobacz wszystkie- CVE-2026-97398Wysokie
Wtyczka FV Flowplayer Video Player dla WordPressa do wersji 7.5.54.7212 włącznie jest podatna na Stored Cross-Site Scripting przez atrybut 'synopsis' w shortcode, z powodu niedostatecznej sanityzacji i escapowania. Atak wymaga włączenia opcji 'Parse Vimeo and YouTube links' i ustawienia atrybutu liststyle na 'season'.
- CVE-2026-97630Średnie
Wtyczka FV Flowplayer Video Player dla WordPressa jest podatna na przechowywany atak XSS przez niecytowany atrybut shortcode'u popup we wszystkich wersjach do 7.5.54.7212 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie do zainfekowanej strony. Skuteczne wykorzystanie wymaga włączenia opcji profile_videos_enable_bio, ponieważ wykonanie skryptu następuje na stronie bio/archiwum autora, gdzie renderowany jest shortcode profilowego wideo.
- CVE-2026-12135Średnie
Wtyczka FV Flowplayer Video Player dla WordPress jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez atrybut 'align' w shortcode'u 'video_player' we wszystkich wersjach do 7.5.51.7212 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia dla atrybutów dostarczanych przez użytkownika.
- CVE-2026-49773Średnie
W FV Flowplayer Video Player w wersjach poniżej 7.5.51.7212 występuje podatność typu Cross Site Scripting (XSS) dla subskrybentów.
- CVE-2026-7556Wysokie
Wtyczka FV Flowplayer Video Player dla WordPressa jest podatna na trwałe Cross-Site Scripting (XSS) przez tekst komentarza we wszystkich wersjach do 7.5.49.7212 włącznie, z powodu niedostatecznej sanitacji wejścia i ucieczki wyjścia. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty, które wykonają się po zatwierdzeniu komentarza przez administratora.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in FolioVision FV Flowplayer Video Player fv-wordpress-flowplayer allows Stored XSS.This issue affects FV Flowplayer Video Player: from n/a through 7.5.54.7212.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS