DUPIN Alertas · FV Flowplayer Video Playerhttps://alertas.dupin.com.ar/fabricante/fv-flowplayer-video-player/Alertas de vulnerabilidades de FV Flowplayer Video Player.esSun, 08 Nov 2026 07:20:16 +000010Vulnerabilidad: CVE-2026-85344 · Modificación masiva de entradas en FV Playerhttps://alertas.dupin.com.ar/cve/CVE-2026-85344/tg:64030Sun, 08 Nov 2026 07:20:16 +0000VulnerabilidadEl plugin FV Flowplayer Video Player antes de 7.5.57.7212 no realiza ninguna comprobación de autorización en una acción AJAX que efectúa una reescritura de contenido en todo el sitio. Cualquier usuario autenticado, incluido el nivel subscriber, puede desencadenar una modificación masiva de entradas que no debería poder editar. Corrige en 7.5.57.7212.Vulnerabilidad: CVE-2026-85351 · Falsificación de petición del lado del servidor (SSRF) en FV Playerhttps://alertas.dupin.com.ar/cve/CVE-2026-85351/tg:63457Thu, 05 Nov 2026 07:26:20 +0000VulnerabilidadEl plugin FV Flowplayer Video Player de WordPress antes de 7.5.56.7212 no valida una URL provista por el usuario antes de realizar una petición del lado del servidor cuyo cuerpo de respuesta se almacena y se sirve públicamente, lo que permite a usuarios con rol Contributor o superior realizar ataques de SSRF y leer la respuesta de un recurso interno cuando se devuelve con tipo de contenido de imagen.Vulnerabilidad: CVE-2026-85347 · Cross-site scripting (XSS) almacenado en FV Playerhttps://alertas.dupin.com.ar/cve/CVE-2026-85347/tg:63454Thu, 05 Nov 2026 07:26:15 +0000VulnerabilidadEl plugin FV Flowplayer Video Player de WordPress antes de 7.5.56.7212 no sanea ni escapa un valor provisto por el usuario antes de mostrarlo en una página, lo que podría permitir a usuarios con rol Contributor o superior inyectar scripts web arbitrarios que se ejecutan cuando un usuario con más privilegios visita la página afectada.Vulnerabilidad: CVE-2026-85346 · Divulgación de archivos de almacenamiento en la nube en FV Playerhttps://alertas.dupin.com.ar/cve/CVE-2026-85346/tg:63453Thu, 05 Nov 2026 07:26:14 +0000VulnerabilidadEl plugin FV Flowplayer Video Player de WordPress antes de 7.5.56.7212 no realiza verificaciones de autorización ni de CSRF en varios de sus manejadores del explorador de medios de almacenamiento en la nube, lo que permite a cualquier usuario autenticado con permisos mínimos, como Subscriber, divulgar la configuración y los listados de archivos almacenados de las cuentas de almacenamiento en la nube conectadas al sitio.