5.0
Moyenne
CVE-2026-85351 FV Player < 7.5.56.7212 - Contributor+ SSRF via Media Library Import
Description
The FV Flowplayer Video Player WordPress plugin before 7.5.56.7212 does not validate a user-supplied URL before performing a server-side fetch whose response body is stored and served publicly, allowing users with Contributor-level access and above to perform Server-Side Request Forgery (SSRF) attacks and to read the response of an internal resource when it is returned with an image content type.
Détail CVSS 3.1
Vecteur CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:N/A:NExploitable à distance par le réseau, avec un compte ordinaire et sans action d’un utilisateur ; l’impact sur les données ou le service reste limité.
- Vecteur d’attaque
- Réseau
- Complexité
- Faible
- Privilèges requis
- Faibles
- Interaction
- Aucune
- Portée
- Modifiée
- Confidentialité
- Faible
- Intégrité
- Aucun
- Disponibilité
- Aucun
Produits et versions touchés
| Produit | Versions touchées | Corrigé en |
|---|---|---|
| FV Flowplayer Video Player 7.5 | premières → < 7.5.56.7212 | 7.5.56.7212 |
Autres CVE de FV Flowplayer Video Player
Les 6 CVE de FV Flowplayer Video Player →
CVE-2026-85347
FV Player < 7.5.56.7212 - Contributor+ Stored XSS via Text Lightbox Caption
6.8
Moyenne
CVE-2026-85346
FV Player < 7.5.56.7212 - Subscriber+ Cloud Storage File Disclosure via Media Browser Handlers
4.3
Moyenne
CVE-2026-108068
FV Flowplayer Video Player 7.4.44.727 - 7.5.55.7212 - Contributor+ Bulk Video Record Disclosure and Modification via Migration Wizard
3.8
Faible
CVE-2026-108067
FV Flowplayer Video Player < 7.5.56.7212 - Contributor+ Arbitrary Video and Meta Record Deletion, Video Modification and Meta Disclosure via IDOR
3.8
Faible