→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-85351 · fv-flowplayer-video-player
جعل درخواست سمت سرور (SSRF) در افزونه FV Flowplayer Video Player
افزونه FV Flowplayer Video Player وردپرس پیش از نسخه 7.5.56.7212 آدرس‌های اینترنتی وارد شده توسط کاربر را پیش از ارسال درخواست سمت سرور اعتبارسنجی نمی‌کند. این آسیب‌پذیری به کاربران با سطح دسترسی مشارکت‌کننده و بالاتر اجازه می‌دهد تا حملات جعل درخواست سمت سرور (SSRF) را اجرا کرده و محتوای منابع داخلی را در صورت بازگشت با نوع محتوای تصویر بخوانند. تاکنون هیچ پچ رسمی برای این آسیب‌پذیری منتشر نشده است و توصیه می‌شود تا زمان انتشار وصله امنیتی، افزونه را به‌طور موقت غیرفعال کرده یا از یک فایروال وب (WAF) برای مسدودسازی درخواست‌های مخرب استفاده کنید.
نسخه‌های تحت تأثیر
<= 7.5.56.7212
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته fv-flowplayer-video-player را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.