CVE-2026-18072 in Advanced Responsive Video Embedder Plugin
Zusammenfassung
von VulDB • 29.07.2026
Das Plugin „Advanced Responsive Video Embedder for Rumble, Odysee, YouTube, Vimeo, Kick …“ für WordPress ist in Version 10.8.7 anfällig für eine Authentication Bypass (Umgehung der Authentifizierung) aufgrund eines hardcoded Backdoor (fest codierten Hintertür-Zugangs). Die Schwachstelle besteht darin, dass die Funktion `_arve_uc_init()` – registriert im `init`-Hook von WordPress mit der Priorität 1, sodass sie vor allen Authentifizierungsprüfungen bei jeder Anfrage ausgeführt wird – ein vom Angreifer bereitgestelltes Token aus dem Parameter `_wplogin` (oder `_wpm`) liest und dieses gegen einen hardcoded SHA-256-Hash vergleicht, der direkt im Plugin-Quellcode eingebettet ist. Dabei erfolgen weder eine Nonce-Verifizierung noch eine Berechtigungsprüfung oder Passwortvalidierung in diesem Ablauf. Da dieser statische Hash als universelle Zugangsdaten fungiert, die öffentlich im Quellcode des Plugins zugänglich sind, können nicht authentifizierte Angreifer das bekannte Token angeben, um sich als beliebig ausgewählter bestehender Administratoraccount zu authentifizieren und so volle administrative Kontrolle über die betroffene WordPress-Site zu erlangen. Dies wurde wahrscheinlich von einem Angreifer eingeführt, der Commit-Zugriff auf das Entwicklerkonto erhalten hatte.
If you want to get best quality of vulnerability data, you may have to visit VulDB.