Veille sécuritéCMS & e-commerce
P4Moyenne
FV Player 8 est affecté par une XSS stockée dans l’attribut de shortcode synopsis. L’attaque nécessite généralement un compte de niveau contributeur ou supérieur, mais peut aussi concerner les visiteurs anonymes si le traitement des liens Vimeo et YouTube dans les commentaires est activé ; aucune version corrective n’est précisée.
WordPress
IdentifiantCVE-2026-95807
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-95807
Analyse technique
Le défaut concerne l’insuffisance de validation des entrées et d’échappement des sorties pour l’attribut synopsis ; l’option parse_comments peut étendre l’exposition aux commentaires.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-14 ; cette date de publication est dans la période demandée.
ImpactDu script injecté peut être exécuté par les utilisateurs consultant les pages concernées.
Versions affectéesToutes les versions jusqu’à 8.1.7 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,25% · percentile 15,6%
Publication2026-10-14T04:18:56.290+00:00
Mise à jour2026-10-14T14:26:59.367+00:00
Action recommandée
Vérifier l’exposition du plugin et appliquer une version corrigée dès qu’elle est disponible ; en attendant, désactiver le traitement concerné ou le plugin.
Sources
Priorisation DFS : P4 · 1 source(s).