XSS stockée dans FV Flowplayer Video Player

Veille sécuritéCMS & e-commerce

P3Élevée

FV Flowplayer Video Player avant 7.5.57.7212 ne neutralise pas certaines valeurs d’attribut de shortcode intégrées dans des commentaires. Si l’analyse des shortcodes dans les commentaires est activée, un visiteur non authentifié peut faire exécuter du script dans le navigateur de toute personne qui lit le commentaire en lançant la vidéo concernée.

IdentifiantCVE-2026-117525

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif7.5.57.7212

Source : NVD — CVE-2026-117525

Analyse technique

XSS stockée via une valeur d’attribut de shortcode rendue dans le balisage du lecteur multimédia ; l’exploitation dépend de l’activation d’un réglage non activé par défaut.

Impact, versions et correctif

Événement datéLa fiche NVD a été publiée le 2026-11-07T06:16:56.923Z, dans la période demandée ; c’est cet événement qui est retenu.

ImpactExécution de script dans le navigateur des visiteurs concernés, y compris des administrateurs.

Versions affectéesFV Flowplayer Video Player < 7.5.57.7212

Version corrigée7.5.57.7212

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.5

EPSS0,17% · percentile 6,5%

Publication2026-11-07T06:16:56.923Z

Mise à jour2026-11-07T19:17:18.093Z

Action recommandée

Mettre à jour FV Flowplayer Video Player vers la version 7.5.57.7212 ou ultérieure ; vérifier également le réglage de traitement des shortcodes dans les commentaires.

Sources

NVD — CVE-2026-117525

Priorisation DFS : P3 · 1 source(s).