CVE-2026-97630
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka FV Flowplayer Video Player dla WordPressa jest podatna na przechowywany atak XSS przez niecytowany atrybut shortcode'u popup we wszystkich wersjach do 7.5.54.7212 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie do zainfekowanej strony. Skuteczne wykorzystanie wymaga włączenia opcji profile_videos_enable_bio, ponieważ wykonanie skryptu następuje na stronie bio/archiwum autora, gdzie renderowany jest shortcode profilowego wideo.
Ocena ryzyka
Ryzyko obejmuje możliwość wstrzyknięcia złośliwych skryptów na stronach autora, co może prowadzić do kradzieży danych, przejęcia sesji lub rozprzestrzeniania złośliwego oprogramowania. Atak może dotknąć odwiedzających strony bio/archiwum autorów, którzy mają włączoną opcję profilowego wideo.
Rekomendacja
Zaleca się aktualizację wtyczki FV Flowplayer Video Player do najnowszej wersji z poprawką. Należy również rozważyć wyłączenie opcji profile_videos_enable_bio, jeśli nie jest niezbędna, oraz ograniczenie uprawnień subskrybentów.
Inne podatności w FV Flowplayer Video Player
Zobacz wszystkie- CVE-2026-97398Wysokie
Wtyczka FV Flowplayer Video Player dla WordPressa do wersji 7.5.54.7212 włącznie jest podatna na Stored Cross-Site Scripting przez atrybut 'synopsis' w shortcode, z powodu niedostatecznej sanityzacji i escapowania. Atak wymaga włączenia opcji 'Parse Vimeo and YouTube links' i ustawienia atrybutu liststyle na 'season'.
- CVE-2026-42695Średnie
Wtyczka FV Flowplayer Video Player dla WordPressa (do wersji 7.5.54.7212) nie neutralizuje poprawnie danych wejściowych podczas generowania stron, co umożliwia atak typu Stored XSS. Złośliwy kod JavaScript może zostać trwale zapisany i wykonany w przeglądarce użytkownika.
- CVE-2026-12135Średnie
Wtyczka FV Flowplayer Video Player dla WordPress jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez atrybut 'align' w shortcode'u 'video_player' we wszystkich wersjach do 7.5.51.7212 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia dla atrybutów dostarczanych przez użytkownika.
- CVE-2026-49773Średnie
W FV Flowplayer Video Player w wersjach poniżej 7.5.51.7212 występuje podatność typu Cross Site Scripting (XSS) dla subskrybentów.
- CVE-2026-7556Wysokie
Wtyczka FV Flowplayer Video Player dla WordPressa jest podatna na trwałe Cross-Site Scripting (XSS) przez tekst komentarza we wszystkich wersjach do 7.5.49.7212 włącznie, z powodu niedostatecznej sanitacji wejścia i ucieczki wyjścia. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty, które wykonają się po zatwierdzeniu komentarza przez administratora.
Oryginalny opis (angielski, źródło NVD)
The FV Flowplayer Video Player plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Unquoted popup Shortcode Attribute in all versions up to, and including, 7.5.54.7212 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Successful exploitation requires the profile_videos_enable_bio option to be enabled, as script execution occurs on the author bio/archive page where the profile-video shortcode is rendered.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS