WordPressに高機能な動画プレーヤーを追加するプラグイン「FV Flowplayer Video Player」において、2件のセキュリティ上の問題が確認されました。影響を受けるのは、バージョン 7.5.54.7212 までのすべてのバージョンです。
これらの脆弱性を悪用された場合、サイトに登録済みの低権限ユーザーによって本来受け付けないはずの種類のファイルがサーバーへ保存されたり、ページを閲覧した利用者のブラウザ上で不正なスクリプトが実行されたりする可能性があります。
対策として、バージョン 7.5.55.7212 以降への更新を推奨します。
脆弱性詳細
1件目：任意ファイルアップロード（CVE-2026-86461／7.5.54.7212以前）
動画URLを受け取って内容を確認する処理において、サイトに登録済みの低権限ユーザー（購読者レベル）以上が、本来受け付けないはずの種類のファイルをサーバーへ保存できる状態にありました。悪用には、プラグインの「プロフィール動画（Enable profile videos）」機能が有効になっていることが前提となります。
2件目：クロスサイトスクリプティング（CVE-2026-97398／7.5.54.7212以前）
動画プレイリストの説明文（synopsis）を画面に表示する処理において、入力の無害化が不十分でした。これにより、ログインしていない第三者が埋め込んだスクリプトが、該当ページを開いた利用者のブラウザ上で実行される状態にありました。悪用には、「Parse Vimeo and YouTube links」機能が有効で、かつプレイリストが特定の表示形式（season）で使われていることが前提となります。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
- 1件目（CVE-2026-86461）
本来受け付けないはずの種類のファイルが、インターネットからそのまま参照できる場所に保存されるおそれがあります。保存されるファイルは安全な補助機能を介さず、ファイルの種類の確認も不十分な状態で書き込まれるため、実行可能なファイルが置かれた場合には、サーバー上でプログラムが実行される状態に至る可能性があります。 - 2件目（CVE-2026-97398）
説明文に埋め込まれたスクリプトが、該当のプレイリストを表示したページで実行されます。ページを閲覧した利用者（管理者を含む）のブラウザ上で不正な処理が行われ、セッション情報の窃取やアカウントの乗っ取りにつながる可能性があります。
被害発生の条件
- 1件目：サイトに登録済みの低権限ユーザー（購読者レベル）以上であり、かつ「プロフィール動画」機能が有効であること。ユーザー登録を開放しているサイトでは、攻撃者が自ら登録することで到達し得ます。なお、この機能が無効の場合、購読者レベルの利用者は処理に必要な確認用コード（正当性を確認するための値）を取得できないため、この経路は成立しません。
- 2件目：「Parse Vimeo and YouTube links」機能が有効で、かつプレイリストが「season」形式で表示されていること。この条件のもとでは、ログインや閲覧者側の特別な操作は不要です。
技術的な詳細
1件目：動画URL確認処理を悪用したファイルアップロード（CVE-2026-86461）
- 動画URLの確認を受け付ける処理には、リクエストの正当性を確認する仕組み（nonce：ワンタイムの確認コード）も、利用者の権限（役割）の確認もありませんでした。
- 受け取ったURLの中身を取得してサーバーに一時保存する際、保存するファイルの名前が送信されたURLの末尾部分から作られていました。このため、保存されるファイルの名前（拡張子を含む）を外部から指定できる状態でした。
- 保存先がインターネットから参照できる公開フォルダーであり、ファイルの種類の確認やWordPress標準のアップロード補助機能を経由していなかったため、実行可能なファイルが保存され得る状態となっていました。
- 対策版では、動画URL確認の処理に確認用コードの検証が追加され、一時ファイルは外部から名前を左右できないランダムな安全名で公開領域の外に保存し、処理後に確実に削除するよう見直されています。
2件目：説明文の出力処理によるスクリプト実行（CVE-2026-97398）
- プレイリストの説明文を画面に表示する処理で、保存されていた内容がそのまま出力されており、HTMLタグなどを無害化する処理が行われていませんでした。
- そのため、ブラウザが説明文の内容を単なる文字としてではなく、実行可能なプログラムとして解釈してしまう状態となっていました。
- 対策版では、説明文を表示する前にHTMLタグを取り除く処理が追加されています。
脆弱性の種類
CVE-2026-86461：CWE-434 危険な種類のファイルの無制限アップロード 
CVE-2026-97398：CWE-79 クロスサイトスクリプティング
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（7.5.55.7212 以降）へ更新してください。両方の脆弱性が解消されます。
- 被害確認
- 1件目：サーバー上のアップロード保存先フォルダー（通常は
wp-content/uploads/配下）に、動画以外の見覚えのないファイル（とくに.phpなどの実行可能なファイルや.htmlファイル）が置かれていないか確認してください。該当するファイルが見つかった場合は、開かずに隔離・削除し、専門家へ相談してください。 - サーバーのアクセスログを確認できる場合は、
admin-ajax.phpへのリクエストのうちaction=fv_wp_flowplayer_retrieve_video_data（動画URL確認の処理）に、短時間に繰り返される送信など不審な記録がないかが、1件目のログ調査の手がかりになります。 - 2件目：動画プレイリストを表示しているページで、意図しない表示崩れや不審な挙動がないか確認してください。
- 1件目：サーバー上のアップロード保存先フォルダー（通常は
- セキュリティ対策の強化
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、これらを狙う不正な通信（ファイルアップロードやスクリプト埋め込みのリクエスト）の遮断に有効です。ただし、WAFですべての攻撃を確実に防げるわけではないため、根本的な対策となるプラグインの更新を優先してください。
⇒ 不審なファイルや、身に覚えのない改ざんなどが確認された場合は、WordPressの専門家などへの相談を推奨します。
影響を受けるバージョン
FV Flowplayer Video Player 7.5.54.7212 までのバージョン（7.5.55.7212 で修正）
脆弱性情報 (CVE-ID)
CVE-2026-86461
（公開日 2026年10月14日 更新日 2026年10月14日）
CVE-2026-97398
（公開日 2026年10月14日 更新日 2026年10月14日）
脆弱性の深刻度 (CVSS v3)
CVE-2026-86461 基本値: 8.8 (重要) [Wordfence]
※ 「プロフィール動画」機能が有効な場合に関係します。
CVE-2026-97398 基本値: 7.2 (重要) [Wordfence]
※ 「Parse Vimeo and YouTube links」機能が有効で、プレイリストが「season」形式で表示されている場合に関係します。
脆弱性脅威度(EPSS)
CVE-2026-86461
CVE-2026-86461 悪用確率 0.74% （上位46%） 2026年10月18日時点
CVE-2026-97398
CVE-2026-97398 悪用確率 0.31% （上位78%） 2026年10月18日時点
参考
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
FV Flowplayer Video Player プラグインをご利用中のお客様には、
対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
本記事の作成について
本記事は、対象プラグインの公開ソースコードおよびバージョン間の差分を解析し、その結果に基づいて作成しています。
解析および文章作成の過程では生成AIを利用し、内容は当社の担当者が確認したうえで公開しています。
