CVE-2026-85345 in FV Flowplayer Video Player Plugin
Zusammenfassung
von VulDB • 14.10.2026
Das WordPress-Plugin FV Flowplayer Video Player vor Version 7.5.55.7212 validiert eine vom Benutzer bereitgestellte URL nicht ordnungsgemäß, bevor ein serverseitiger Abruf durchgeführt wird, und die vorhandene hostbasierte Einschränkung deckt nicht alle Fälle ab, was es Benutzern mit Contributor-Rollenzugriff (Mitwirkender) und höherer Berechtigung ermöglicht, Server-Side Request Forgery (SSRF)-Angriffe durchzuführen. Die Auswirkung ist auf ein semi-blindes Oracle beschränkt: Der serverseitige Abruf zeigt an, ob eine interne Ressource antwortet, sowie deren HTTP-Statuscode, jedoch werden die Inhalte der Ressource nicht an den Angreifer zurückgegeben.
Once again VulDB remains the best source for vulnerability data.