CVE-2026-95807
ŚrednieCVSS 6.4Streszczenie
Wtyczka FV Player 8 dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez atrybut shortcode 'synopsis' we wszystkich wersjach do 8.1.7 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelnieni atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać dowolne skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Ocena ryzyka
Wstrzyknięty złośliwy skrypt może wykonać się w przeglądarce użytkownika, co może prowadzić do przejęcia sesji, kradzieży danych lub modyfikacji treści witryny.
Rekomendacja
Zaktualizuj wtyczkę FV Player 8 do wersji nowszej niż 8.1.7 lub ją usuń, jeśli nie jest używana.
Inne podatności w FV Player 8
Zobacz wszystkie- CVE-2026-42699Wysokie
Nieuwierzytelniona podatność Cross Site Scripting (XSS) w wtyczce FV Player 8 w wersjach do 8.1.8. Umożliwia nieautoryzowanym użytkownikom wstrzyknięcie złośliwego skryptu do stron wyświetlanych innym użytkownikom.
- CVE-2026-83526Wysokie
Wtyczka FV Player 8 dla WordPressa jest podatna na arbitralne przesyłanie plików w wersjach do 8.1.7 włącznie. Funkcja check_mimetype nie wykonuje odpowiedniej walidacji typu pliku, co pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym na przesyłanie plików, które mogą być wykonywalne, co umożliwia zdalne wykonanie kodu. Wymaga to wykorzystania wyścigu.
Oryginalny opis (angielski, źródło NVD)
The FV Player 8 plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'synopsis' Shortcode Attribute in all versions up to, and including, 8.1.7 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Unauthenticated visitors can also exploit this vulnerability when the 'Parse Vimeo and YouTube links' (parse_comments) setting is enabled, as this causes the plugin to process shortcodes within comment text.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS