‹ Volver al listado

CVE-2026-86461

Estado: AplazadaAlta (8.8)—
Gravedad8.8Alta · CVSS 3.1
Probabilidad de explotación0.74 %mayor que el 54 % de las CVE
Explotación activaNono figura en el catálogo de CISA
Exploit públicoNo conocidosin código público localizado

El plugin FV Flowplayer Video Player para WordPress es vulnerable a una carga arbitraria de archivos limitada en todas las versiones hasta la 7.5.54.7212 incluida, a través de la función check_mimetype. Esto se debe a una validación incompleta del tipo de archivo en la función check_mimetype: aunque existe cierta comprobación de extensiones, puede eludirse, lo que permite escribir contenido de archivo remoto proporcionado por el atacante con una aplicación insuficiente de las extensiones y sin comprobación MIME ni uso de la función de carga de WordPress.

Leer descripción completaMostrar menos

Esto hace posible que atacantes autenticados, con acceso de nivel suscriptor y superior, carguen archivos que pueden ser ejecutables, lo que hace posible la ejecución remota de código. La explotación requiere que la opción "profile videos on bio" del plugin esté habilitada, ya que esto hace que el nonce se emita en la página de perfil accesible para suscriptores; sin esta configuración, los usuarios autenticados con un nivel inferior a Editor no pueden obtener el nonce necesario.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base
8.8
Versión
3.1
Vector
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días
0.74 %
Percentil entre todas las CVEs puntuadas
54
Fecha de la puntuación
24/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Vector AV:N/PR:L/UI:N: un suscriptor autenticado sube archivos ejecutables (CWE-434) que permiten ejecución remota de código, probablemente mediante web shell.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Disable or Remove Feature or ProgramPrivileged Account ManagementVulnerability ScanningUser Account ManagementThreat Intelligence ProgramRestrict Web-Based Content

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Flowplayer — FV Flowplayer Video PlayerAI

CWE

Referencias

Mostrar las 3 referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-86461",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-86461",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "total"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-14T17:49:50.514758Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Primary",
        "source": "security@wordfence.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 8.8,
          "attackVector": "NETWORK",
          "baseSeverity": "HIGH",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "LOW",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 5.9,
        "exploitabilityScore": 2.8
      }
    ]
  },
  "affected": [
    {
      "source": "security@wordfence.com",
      "affectedData": [
        {
          "vendor": "foliovision",
          "product": "FV Flowplayer Video Player",
          "versions": [
            {
              "status": "affected",
              "version": "0",
              "versionType": "semver",
              "lessThanOrEqual": "7.5.54.7212"
            }
          ],
          "defaultStatus": "unaffected"
        }
      ]
    }
  ],
  "published": "2026-10-14T18:19:17.623",
  "references": [
    {
      "url": "https://plugins.trac.wordpress.org/browser/fv-wordpress-flowplayer/trunk/models/checker.php?rev=3652655#L107",
      "source": "security@wordfence.com"
    },
    {
      "url": "https://plugins.trac.wordpress.org/changeset/3731114/fv-wordpress-flowplayer",
      "source": "security@wordfence.com"
    },
    {
      "url": "https://www.wordfence.com/threat-intel/vulnerabilities/id/3dacc612-5300-497a-9d6a-0944906e180c?source=cve",
      "source": "security@wordfence.com"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Primary",
      "source": "security@wordfence.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-434"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "The FV Flowplayer Video Player plugin for WordPress is vulnerable to Limited Arbitrary File Upload in all versions up to, and including, 7.5.54.7212 via the check_mimetype function. This is due to incomplete file type validation in the check_mimetype function — while some extension checking is present, it can be bypassed, allowing attacker-supplied remote file content to be written with insufficient extension enforcement and no MIME check or WordPress upload helper. This makes it possible for authenticated attackers, with subscriber-level access and above, to upload files that may be executable, which makes remote code execution possible. Exploitation requires the plugin's 'profile videos on bio' option to be enabled, as this causes the nonce to be emitted on the subscriber-accessible profile page; without this setting, authenticated users below Editor cannot obtain the required nonce."
    }
  ],
  "lastModified": "2026-10-15T14:45:38.353",
  "sourceIdentifier": "security@wordfence.com"
}