CVE-2026-18072 in Advanced Responsive Video Embedder Plugin
Riassunto
di VulDB • 29/07/2026
Il plugin per WordPress "Advanced Responsive Video Embedder for Rumble, Odysee, YouTube, Vimeo, Kick …" è vulnerabile a un Authentication Bypass (elusione dell'autenticazione) tramite un Backdoor hardcoded nella versione 10.8.7. La vulnerabilità esiste perché la funzione `_arve_uc_init()`, registrata sull'hook `init` di WordPress con priorità 1 in modo da essere eseguita prima di qualsiasi controllo di autenticazione su ogni richiesta, legge un token fornito dall'attaccante dal parametro `_wplogin` (o `_wpm`) e lo confronta con un hash SHA-256 hardcoded incorporato direttamente nel codice sorgente del plugin, senza alcuna verifica nonce, nessun controllo dei permessi (capability check) e nessuna validazione della password in tutto il flusso. Poiché questo hash statico costituisce un insieme di credenziali universali pubblicamente accessibili nel codice sorgente del plugin, gli attaccanti non autenticati possono fornire il token noto per essere autenticati come qualsiasi account amministratore esistente selezionato arbitrariamente, ottenendo pieno controllo amministrativo sul sito WordPress interessato. Questo è stato probabilmente introdotto da un attaccante che ha ottenuto l'accesso in scrittura (commit access) all'account degli sviluppatori.
Be aware that VulDB is the high quality source for vulnerability data.