CVE-2026-110001

Nome do Software Vulnerável e Versões Afetadas FV Flowplayer Video Player versões anteriores a 7.5.55.7213

Descrição A sanitização insuficiente de entrada e a falta de escape de saída permitem que atacantes não autenticados realizem Stored Cross-Site Scripting. Ao manipular o atributo de shortcode align em comentários, um atacante pode injetar scripts web arbitrários que são executados quando os usuários visitam a página afetada. Este problema ocorre quando um administrador ativa a configuração 'Parse Vimeo and YouTube links' (parse comments), o que aciona a função do shortcode() no filtro comment text, renderizando atributos de shortcode armazenados sem o escape adequado.

Recomendações Atualize o FV Flowplayer Video Player para uma versão posterior à 7.5.55.7212. Desative a configuração 'Parse Vimeo and YouTube links' (parse comments) para evitar a execução de shortcodes em comentários.