CVE-2026-18072 in Advanced Responsive Video Embedder Plugin
الملخص
بحسب VulDB • 29/07/2026
يوجد ثغرة في مكوّن "المُضمِّن المتقدم للفيديو المتجاوب" (Advanced Responsive Video Embedder) الخاص بـ Rumble وOdysee وYouTube وVimeo وKick... لبرنامج WordPress، تتيح تجاوز المصادقة عبر وجود بوابة خلفية ثابتة التشفير (Hardcoded Backdoor) في الإصدار 10.8.7. توجد هذه الثغرة لأن الدالة `_arve_uc_init()` — المسجّلة على خطاف `init` الخاص بـ WordPress بالأولوية 1 لتعمل قبل أي فحوصات مصادقة في كل طلب — تقرأ رمزاً (token) مزوَّداً من المهاجم من المعلمة `_wplogin` (أو `_wpm`) وتقارنه مع تجزئة SHA-256 ثابتة التشفير مُضمّنة مباشرةً في مصدر المكوّن، دون أي تحقق من الرمز العشوائي لمرة واحدة (nonce)، ودون فحص للصلاحيات، وبدون التحقق من كلمة المرور في أي مرحلة من التدفق. ونظراً لأن هذه التجزئة الثابتة تمثل مجموعة بيانات اعتماد عالمية يمكن الوصول إليها علناً داخل كود المصدر للمكوّن، فإن المهاجمين غير المصادق عليهم يمكنهم تزويد الرمز المعروف ليتم مصادقتهم بحساب مسؤول موجود تم اختياره بشكل تعسفي، مما يمنحهم السيطرة الإدارية الكاملة على موقع WordPress المتأثر. ومن المرجّح أن هذا قد أُدخل بواسطة مهاجم حصل على صلاحية الالتزام (commit access) لحساب المطورين.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.