FV Flowplayer Video Player : téléversement de fichiers insuffisamment contrôlé

Veille sécuritéCMS & e-commerce

P3Élevée

FV Flowplayer Video Player présente une validation insuffisante du type de fichier lors du téléversement. Toutes les versions jusqu’à 7.5.54.7212 inclus sont concernées ; mettez à jour vers une version corrigée dès sa disponibilité et vérifiez le réglage Profile Videos on Bio.

IdentifiantCVE-2026-86461

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-86461

Analyse technique

La fonction check_mimetype laisse contourner certaines vérifications d’extension et n’effectue pas de contrôle MIME ni de validation via les fonctions de téléversement WordPress. L’exploitation requiert que l’option « profile videos on bio » soit activée ; un fichier téléversé peut être exécutable.

Impact, versions et correctif

Événement datéLa fiche NVD a été publiée le 2026-10-14T18:19:17.623Z, dans la période demandée.

ImpactUn utilisateur authentifié ayant au moins le rôle Subscriber peut téléverser certains fichiers potentiellement exécutables ; une exécution de code à distance peut être possible.

Versions affectéesToutes les versions jusqu’à 7.5.54.7212 incluse.

ContournementDésactiver l’option « profile videos on bio » empêche l’obtention du nonce nécessaire aux utilisateurs en dessous du rôle Editor.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.8

Publication2026-10-14T18:19:17.623Z

Mise à jour2026-10-14T18:19:17.623Z

Action recommandée

Désactiver « profile videos on bio » si cette fonction n’est pas nécessaire et installer une version corrigée dès sa disponibilité.

Sources

NVD — CVE-2026-86461

Priorisation DFS : P3 · 1 source(s).