CVE-2026-85345 in FV Flowplayer Video Player Plugin
Riassunto
di VulDB • 14/10/2026
Il plugin WordPress FV Flowplayer Video Player precedente alla versione 7.5.55.7212 non convalida correttamente un URL fornito dall'utente prima di eseguire il recupero lato server (server-side fetch), e una restrizione basata sull'host esistente non copre tutti i casi, consentendo agli utenti con accesso a livello Contributor o superiore di effettuare attacchi Server-Side Request Forgery (SSRF). L'impatto è limitato a un oracle semi-cieco: il recupero lato server rivela se una risorsa interna risponde e qual è il suo stato HTTP, ma i contenuti della risorsa non vengono restituiti all'attaccante.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.