CVE-2026-18072 in Advanced Responsive Video Embedder Plugin
要約
〜によって VulDB • 2026年07月29日
Rumble、Odysee、YouTube、Vimeo、Kick などの動画埋め込みに対応した「Advanced Responsive Video Embedder」WordPress プラグインのバージョン10.8.7には、ハードコードされたバックドアによる認証回避（Authentication Bypass）の脆弱性が存在します。この脆弱性は、`_arve_uc_init()`関数が WordPress の `init` フックに優先度 1 で登録されており、すべてのリクエストにおいて認証チェックよりも先に実行されるため発生します。同関数は攻撃者が提供したトークンを `_wplogin`（または `_wpm`）パラメータから読み取り、プラグインのソースコード内に直接埋め込まれたハードコード済みの SHA-256 ハッシュ値と比較しますが、そのプロセスにはノンス検証も権限チェックも行われず、フロー全体でパスワード検証は一切行われません。この静的ハッシュはプラグインのソースコード上で公にアクセス可能な一連のユニバーサル資格情報として機能するため、認証されていない攻撃者は既知のトークンを提供することで任意の既存管理者アカウントとして認証され、影響を受ける WordPress サイトに対する完全な管理権限を取得することができます。これはおそらく、開発者アカウントへのコミット権限を侵害した攻撃者によって導入されたものと考えられます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.