یک آسیب‌پذیری امنیتی از نوع Stored Cross-Site Scripting (XSS) در افزونه FV Flowplayer Video Player برای سیستم مدیریت محتوای وردپرس شناسایی شده است. این نقص امنیتی که با شناسه CVE-2026-97398 ثبت شده، تمامی نسخه‌های این افزونه تا ورژن 7.5.54.7212 را تحت تأثیر قرار می‌دهد.
جزئیات فنی و علت وقوع
این آسیب‌پذیری به دلیل عدم پاک‌سازی مناسب ورودی‌ها (Insufficient Input Sanitization) و نقص در گریز از خروجی‌ها (Output Escaping) در ویژگی synopsis مربوط به Shortcode این افزونه رخ داده است. در نتیجه، مهاجمان می‌توانند کدهای مخرب وب را در صفحات تزریق کنند.
تاثیر و پیش‌شرط‌های حمله
عاملان تهدید (Threat Actors) می‌توانند بدون نیاز به احراز هویت (Unauthenticated)، اسکریپت‌های دلخواه خود را در صفحاتی که از این افزونه استفاده می‌کنند تزریق نمایند. این اسکریپت‌ها هر زمان که توسط کاربران دیگر اجرا شوند، در مرورگر آن‌ها فعال خواهند شد. با این حال، برای فعال شدن مسیر حمله، دو شرط زیر باید برقرار باشد:
- گزینه ‘Parse Vimeo and YouTube links’ (با نام فنی parse_comments) باید فعال باشد.
- ویژگی liststyle باید روی مقدار “season” تنظیم شده باشد.
