XSS stockée dans FV Flowplayer Video Player via les vidéos de profil

Veille sécuritéCMS & e-commerce

P4Moyenne

FV Flowplayer Video Player présente une XSS stockée dans les vidéos de profil soumises par les utilisateurs. Toutes les versions jusqu’à 7.5.55.7212 inclus sont concernées; l’exploitation nécessite l’activation par un administrateur de l’option autorisant les visiteurs à téléverser des vidéos sur leur profil.

IdentifiantCVE-2026-110533

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-110533

Analyse technique

Les données soumises via `fv_player_videos[_fv_player_user_video][]` ne sont pas correctement nettoyées ni échappées; un utilisateur ayant au moins le rôle Abonné peut fournir le contenu malveillant si l’option de vidéos de profil est activée.

Impact, versions et correctif

Événement datéPublication de la fiche NVD dans la période demandée, le 2026-10-30.

ImpactExécution de scripts dans les pages affichant le contenu de profil concerné.

Versions affectéesToutes les versions jusqu’à 7.5.55.7212 inclus

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.4

Publication2026-10-30T18:17:20.317Z

Mise à jour2026-10-30T18:33:26.087Z

Action recommandée

Mettre à jour vers une version corrigée dès sa disponibilité; désactiver les téléversements de vidéos de profil si cette fonction est inutile.

Sources

NVD — CVE-2026-110533

Priorisation DFS : P4 · 1 source(s).