Veille sécuritéCMS & e-commerce
P3Élevée
FV Flowplayer Video Player est affecté par une XSS stockée liée à l’attribut de shortcode synopsis. L’exploitation par un visiteur non authentifié nécessite l’activation de parse_comments et l’utilisation de l’attribut liststyle avec la valeur season ; aucune version corrective n’est indiquée.
WordPress
IdentifiantCVE-2026-97398
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-97398
Analyse technique
La vulnérabilité concerne l’absence de validation et d’échappement suffisants de synopsis ; le chemin vulnérable dépend des paramètres parse_comments et liststyle=season.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-14 ; cette date de publication est dans la période demandée.
ImpactDu script injecté peut s’exécuter dans le navigateur des utilisateurs consultant les pages concernées.
Versions affectéesToutes les versions jusqu’à 7.5.54.7212 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,31% · percentile 22,1%
Publication2026-10-14T04:19:05.300+00:00
Mise à jour2026-10-14T15:17:28.457+00:00
Action recommandée
Vérifier l’exposition du plugin et appliquer une version corrigée dès qu’elle est disponible ; en attendant, désactiver parse_comments ou envisager la désactivation du plugin.
Sources
Priorisation DFS : P3 · 1 source(s).