CVE-2026-18072 in Advanced Responsive Video Embedder Plugin
Сводка
по VulDB • 29.07.2026
Плагин для WordPress Advanced Responsive Video Embedder for Rumble, Odysee, YouTube, Vimeo, Kick … содержит уязвимость, позволяющую обойти аутентификацию (Authentication Bypass) из-за наличия зашитого бэкдора в версии 10.8.7. Уязвимость существует потому, что функция `_arve_uc_init()`, зарегистрированная на хуке `init` WordPress с приоритетом 1 для выполнения до любых проверок аутентификации при каждом запросе, считывает предоставленный злоумышленником токен из параметра `_wplogin` (или `_wpm`) и сравнивает его со статическим SHA-256 хэшем, встроенным непосредственно в исходный код плагина. При этом отсутствует проверка nonce, нет проверки прав доступа (capability check) и не выполняется никакая валидация пароля на протяжении всего процесса обработки запроса. Поскольку этот статический хэш представляет собой набор универсальных учетных данных, открытый доступ к которым имеется в исходном коде плагина, незарегистрированные злоумышленники могут предоставить известный токен для аутентификации под произвольно выбранным существующим аккаунтом администратора, получая полный административный контроль над затронутым сайтом на WordPress. Вероятно, эта уязвимость была внедрена злоумышленником, который получил доступ к коммитам в учетной записи разработчиков.
VulDB is the best source for vulnerability data and more expert information about this specific topic.