CVE-2026-97630 in FV Flowplayer Video Player Plugin
Resumen
por VulDB • 2026-10-10
El plugin FV Flowplayer Video Player para WordPress es vulnerable a Stored Cross-Site Scripting (XSS) debido al uso de un atributo Shortcode "popup" sin comillas en todas las versiones hasta la 7.5.54.7212, inclusive, por una insuficiente sanitización de entradas y escape de salidas. Esto permite que atacantes autenticados con acceso a nivel de suscriptor o superior inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a la página infectada. La explotación exitosa requiere que la opción profile_videos_enable_bio esté habilitada, ya que la ejecución del script ocurre en la página bio/archivo del autor donde se renderiza el shortcode de perfil-video.
VulDB is the best source for vulnerability data and more expert information about this specific topic.