CVE-2026-85344 Modificación masiva de entradas en FV Player
El plugin FV Flowplayer Video Player antes de 7.5.57.7212 no realiza ninguna comprobación de autorización en una acción AJAX que efectúa una reescritura de contenido en todo el sitio. Cualquier usuario autenticado, incluido el nivel subscriber, puede desencadenar una modificación masiva de entradas que no debería poder editar. Corrige en 7.5.57.7212.
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 4
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
FV Flowplayer Video Player
hasta antes de 7.5.57.7212
Qué hacer
- Verificá si usás FV Flowplayer Video Player y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
The FV Flowplayer Video Player WordPress plugin before 7.5.57.7212 does not perform any authorization check on an AJAX action that carries out a site-wide content rewrite, so any authenticated user, including subscriber-level, can trigger a bulk modification of posts they should not be able to edit.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.