→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-85345 · fv-flowplayer-video-player
جعل درخواست سمت سرور (SSRF) در افزونه FV Flowplayer Video Player
افزونه FV Flowplayer Video Player وردپرس در نسخه‌های 7.5.55.7212 و پیش از آن، نشانی اینترنتی واردشده توسط کاربر را پیش از واکشی سمت سرور به‌درستی اعتبارسنجی نمی‌کند و محدودیت موجود مبتنی بر میزبان نیز همه حالت‌ها را پوشش نمی‌دهد. در نتیجه کاربران با سطح دسترسی مشارکت‌کننده (Contributor) و بالاتر می‌توانند حمله جعل درخواست سمت سرور (SSRF) انجام دهند؛ تأثیر آن به یک اوراکل نیمه‌کور محدود است که فقط پاسخ‌دهی منبع داخلی و کد وضعیت HTTP را نشان می‌دهد و محتوای منبع به مهاجم بازگردانده نمی‌شود. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا دسترسی به این قابلیت را با فایروال وب محدود نمایید.
نسخه‌های تحت تأثیر
<= 7.5.55.7212
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته fv-flowplayer-video-player را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.