CVE-2026-42699
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Nieuwierzytelniona podatność Cross Site Scripting (XSS) w wtyczce FV Player 8 w wersjach do 8.1.8. Umożliwia nieautoryzowanym użytkownikom wstrzyknięcie złośliwego skryptu do stron wyświetlanych innym użytkownikom.
Ocena ryzyka
Ryzyko kradzieży sesji, przejęcia kont użytkowników lub rozpowszechniania złośliwego oprogramowania wśród odwiedzających.
Rekomendacja
Zaktualizuj wtyczkę FV Player 8 do najnowszej wersji, która zawiera poprawkę tej luki.
Inne podatności w FV Player 8
Zobacz wszystkie- CVE-2026-95807Średnie
Wtyczka FV Player 8 dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez atrybut shortcode 'synopsis' we wszystkich wersjach do 8.1.7 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelnieni atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać dowolne skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-83526Wysokie
Wtyczka FV Player 8 dla WordPressa jest podatna na arbitralne przesyłanie plików w wersjach do 8.1.7 włącznie. Funkcja check_mimetype nie wykonuje odpowiedniej walidacji typu pliku, co pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym na przesyłanie plików, które mogą być wykonywalne, co umożliwia zdalne wykonanie kodu. Wymaga to wykorzystania wyścigu.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Cross Site Scripting (XSS) in FV Player 8 <= 8.1.8 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS