CVE-2026-83526
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
Wtyczka FV Player 8 dla WordPressa jest podatna na arbitralne przesyłanie plików w wersjach do 8.1.7 włącznie. Funkcja check_mimetype nie wykonuje odpowiedniej walidacji typu pliku, co pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym na przesyłanie plików, które mogą być wykonywalne, co umożliwia zdalne wykonanie kodu. Wymaga to wykorzystania wyścigu.
Ocena ryzyka
Ryzyko obejmuje zdalne wykonanie kodu na serwerze, co może prowadzić do pełnego przejęcia witryny. Atak wymaga jednak wykorzystania warunków wyścigu.
Rekomendacja
Zaleca się aktualizację wtyczki FV Player 8 do najnowszej wersji. Należy również wzmocnić walidację typów plików i dodać sprawdzanie uprawnień.
Inne podatności w FV Player 8
Zobacz wszystkie- CVE-2026-95807Średnie
Wtyczka FV Player 8 dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez atrybut shortcode 'synopsis' we wszystkich wersjach do 8.1.7 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelnieni atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać dowolne skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-42699Wysokie
Nieuwierzytelniona podatność Cross Site Scripting (XSS) w wtyczce FV Player 8 w wersjach do 8.1.8. Umożliwia nieautoryzowanym użytkownikom wstrzyknięcie złośliwego skryptu do stron wyświetlanych innym użytkownikom.
Oryginalny opis (angielski, źródło NVD)
The FV Player 8 plugin for WordPress is vulnerable to Arbitrary File Upload in all versions up to, and including, 8.1.7 via the check_mimetype function. This is due to insufficient file type validation in check_mimetype(), which writes attacker-supplied remote file content to the public uploads directory before any MIME or extension check, combined with a missing capability check on new player creation. This makes it possible for authenticated attackers, with subscriber-level access and above, to upload files that may be executable, which makes remote code execution possible. This requires successfully exploiting a race condition.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS