FV Flowplayer Video Player: Authentifizierter beliebiger Dateiupload
Zusammenfassung
Das WordPress-Plugin FV Flowplayer Video Player bis und mit Version 7.5.54.7212 validiert Dateitypen in seiner Funktion check_mimetype ungenügend. Ein authentifizierter Benutzer mit Subscriber-Rechten oder höher kann Dateien hochladen, die ausführbar sein können, was zu Remote Code Execution führen kann. Voraussetzung für die Ausnutzung ist, dass die Option 'profile videos on bio' aktiviert ist, da sie den erforderlichen Nonce für Subscriber-Konten sichtbar macht.
Betroffen
- FV Flowplayer Video Player (WordPress-Plugin) bis und mit Version 7.5.54.7212
- Die Ausnutzung setzt voraus, dass die Option 'profile videos on bio' aktiviert ist
Behoben in
- Version 7.5.55.7212 (laut WPScan und dem WordPress.org-Changelog; noch nicht gegen das Wordfence-Advisory bestätigt)
Umgehung
- Vom Hersteller und von der NVD ist kein Workaround dokumentiert.
- Übergangsmassnahme (Ableitung, keine Herstellervorgabe): Die Option 'profile videos on bio' deaktivieren.
- Prüfen, welche Konten sich auf der Website registrieren können.
Ausnutzung
- Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- CISA-SSVC-Daten: Exploitation none, automatable no.
- Ein Aggregator meldet keinen öffentlichen PoC und keinen Eintrag im CISA KEV (nicht gegen CISA verifiziert).
- EPSS etwa 0.0074.
Unsere Empfehlung
- Alle WordPress-Websites mit diesem Plugin identifizieren und die Version prüfen.
- Auf Version 7.5.55.7212 oder neuer aktualisieren.
- Die Option 'profile videos on bio' dort deaktivieren, wo sie nicht benötigt wird.
- Websites mit offener Registrierung auf unerwartete Uploads und ausführbare Dateien prüfen.
- Webserver-Logs auf verdächtige Uploads überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Wordfence advisory CVE-2026-86461 www.wordfence.com
- WordPress.org plugin changeset 3731114 plugins.trac.wordpress.org
- WordPress.org checker.php (vulnerable code) plugins.trac.wordpress.org
- WordPress.org plugin page wordpress.org
- WPScan plugin page wpscan.com
- Vulners CVE-2026-86461 vulners.com
- VulDB entry 420259 vuldb.com
- OpenCVE CVE-2026-86461 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:42.
Referenzen der NVD (3)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.