CVE-2026-85346 Divulgación de archivos de almacenamiento en la nube en FV Player
El plugin FV Flowplayer Video Player de WordPress antes de 7.5.56.7212 no realiza verificaciones de autorización ni de CSRF en varios de sus manejadores del explorador de medios de almacenamiento en la nube, lo que permite a cualquier usuario autenticado con permisos mínimos, como Subscriber, divulgar la configuración y los listados de archivos almacenados de las cuentas de almacenamiento en la nube conectadas al sitio.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,1 % · percentil 1
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
FV Flowplayer Video Player
hasta antes de 7.5.56.7212
Qué hacer
- Verificá si usás FV Flowplayer Video Player y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 4.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadNinguna
- DisponibilidadNinguna
Descripción original
The FV Flowplayer Video Player WordPress plugin before 7.5.56.7212 does not perform authorization or CSRF checks on several of its cloud storage media browser handlers, allowing any authenticated user with minimal permissions (such as Subscriber) to disclose the configuration and stored file listings of the site's connected cloud storage accounts.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.