Veille sécuritéCMS & e-commerce
P4Non déterminée
FV Flowplayer Video Player ne valide pas une URL fournie par l’utilisateur avant d’effectuer une requête côté serveur, puis de stocker et servir publiquement le corps de la réponse. Des utilisateurs ayant le rôle Contributor ou supérieur peuvent ainsi tenter une SSRF et, dans certaines conditions de réponse, accéder à une ressource interne ; mettre à jour vers la version 7.5.56.7212 ou ultérieure.
WordPress
IdentifiantCVE-2026-85351
GravitéNon déterminée
Exploitationnon connue / non déterminée
Correctif7.5.56.7212
Source : NVD — CVE-2026-85351
Analyse technique
La réponse de la requête distante est conservée et servie publiquement. La lecture d’une ressource interne est possible lorsque sa réponse est renvoyée avec un type de contenu image.
Impact, versions et correctif
Événement datéFiche publiée par le NVD le 2026-11-05T06:17:08.833Z, soit le 2026-11-05 à 08:17:08.833+02:00, dans la période demandée.
ImpactRequêtes SSRF possibles et lecture de certaines réponses de ressources internes.
Versions affectéesVersions antérieures à 7.5.56.7212
Version corrigée7.5.56.7212
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,13% · percentile 2,8%
Publication2026-11-05T06:17:08.833Z
Mise à jour2026-11-05T15:06:27.350Z
Action recommandée
Mettre à jour FV Flowplayer Video Player vers la version 7.5.56.7212 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).