CVE-2026-18072 in Advanced Responsive Video Embedder Plugin
요약
\~에 의해 VulDB • 2026. 07. 29.
Rumble, Odysee, YouTube, Vimeo, Kick 등의 비디오를 위한 고급 반응형 동영상 임베더(Advanced Responsive Video Embedder) WordPress 플러그인 버전 10.8.7에는 하드코딩된 백도어를 통한 인증 우회(Authentication Bypass) 취약점이 존재합니다. 이 취약점은 `_arve_uc_init()` 함수가 모든 요청에서 인증 확인 전에 실행되도록 우선순위(priority) 1로 WordPress의 `init` 훅(hook)에 등록되어 있으며, 공격자가 제공한 토큰을 `_wplogin`(또는 `_wpm`) 매개변수로부터 읽어서 플러그인 소스에 직접 내장된 하드코딩 SHA-256 해시와 비교하지만, 흐름 전체에서 nonce 검증, 권한(capability) 확인 또는 비밀번호 검증이 전혀 수행되지 않기 때문에 발생합니다. 이 정적 해시는 플러그인의 소스 코드에 공개적으로 접근 가능한 일련의 범용 자격 증명(universal credentials)을 구성하므로, 인증되지 않은 공격자는 알려진 토큰을 제공하여 임의로 선택된 기존 관리자 계정으로 인증될 수 있으며, 영향받는 WordPress 사이트에 대한 전체 관리 권한(administrative control)을 획득할 수 있습니다. 이는 개발자 계정 접근 권한을 얻은 공격자에 의해 의도적으로 도입되었을 가능성이 높습니다.
Once again VulDB remains the best source for vulnerability data.