FV Player 8 WordPress-Plugin: Beliebiger Datei-Upload in check_mimetype

Zusammenfassung

FV Player 8 für WordPress bis einschliesslich Version 8.1.7 schreibt vom Angreifer gelieferte Remote-Dateiinhalte in das öffentliche Uploads-Verzeichnis, bevor MIME-Typ- oder Dateiendungsprüfungen ausgeführt werden. Authentifizierte Benutzer mit mindestens Subscriber-Berechtigung können potenziell ausführbare Dateien hochladen, was zu Remote Code Execution führen kann. Die Ausnutzung erfordert das Gewinnen einer Race Condition und ist nur möglich, wenn der Shortcode [fvplayer_editor] vorhanden ist oder die Einstellung «Enable profile videos» aktiviert ist.

Betroffen

• FV Player 8 (WordPress-Plugin) bis einschliesslich Version 8.1.7
• Standardmässig nicht betroffen; Bedingungen gelten (siehe Zusammenfassung)

Behoben in

• FV Player 8.1.8 (Herstellerversion vom 05. Oktober 2026)

Umgehung

• Den Shortcode [fvplayer_editor] und die Einstellung «Enable profile videos» deaktivieren, falls nicht sofort aktualisiert werden kann (Empfehlung, keine Herstelleraussage)
• Selbstregistrierung von Subscriber-Konten einschränken, um die Anzahl authentifizierter Konten zu reduzieren
• Ausführung von PHP- und anderen ausführbaren Dateien im Uploads-Verzeichnis auf dem Webserver blockieren; vor dem Einsatz testen

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total
• EPSS ungefähr 0.006
• Kein öffentlicher Proof of Concept und keine Berichte über Ausnutzung in freier Wildbahn in einer nicht erschöpfenden Suche gefunden
• Laut einem Drittanbieter-Issue nicht im CISA KEV; nicht direkt verifiziert

Unsere Empfehlung

• FV Player 8 auf allen WordPress-Seiten auf Version 8.1.8 oder neuer aktualisieren
• Prüfen, ob der Shortcode [fvplayer_editor] verwendet wird oder «Enable profile videos» aktiviert ist, und beides bis zur Aktualisierung deaktivieren
• Benutzerkonten mit mindestens Subscriber-Berechtigung prüfen und nicht benötigte Konten entfernen
• Uploads-Verzeichnis auf unerwartete ausführbare Dateien prüfen und auf neue überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• FV Player 8.1.8 release (vendor) github.com
• Wordfence advisory www.wordfence.com
• VulDB CVE-2026-83526 vuldb.com
• OSV CVE-2026-83526 osv.dev
• OpenCVE CVE-2026-83526 app.opencve.io
• Rapid7 via Vulners vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:46.