CVE-2026-85351 Falsificación de petición del lado del servidor (SSRF) en FV Player
El plugin FV Flowplayer Video Player de WordPress antes de 7.5.56.7212 no valida una URL provista por el usuario antes de realizar una petición del lado del servidor cuyo cuerpo de respuesta se almacena y se sirve públicamente, lo que permite a usuarios con rol Contributor o superior realizar ataques de SSRF y leer la respuesta de un recurso interno cuando se devuelve con tipo de contenido de imagen.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 5
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
FV Flowplayer Video Player
hasta antes de 7.5.56.7212
Qué hacer
- Verificá si usás FV Flowplayer Video Player y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.0 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadBaja
- IntegridadNinguna
- DisponibilidadNinguna
Descripción original
The FV Flowplayer Video Player WordPress plugin before 7.5.56.7212 does not validate a user-supplied URL before performing a server-side fetch whose response body is stored and served publicly, allowing users with Contributor-level access and above to perform Server-Side Request Forgery (SSRF) attacks and to read the response of an internal resource when it is returned with an image content type.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.