PT-2026-65688
CVE-2026-18072
·
تاريخ النشر
2026-07-28
·
تاريخ التحديث
2026-10-20
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Advanced Responsive Video Embedder لـ Rumble و Odysee و YouTube و Vimeo و Kick … الإصدار 10.8.7
الوصف
يوجد ثغرة في عملية تجاوز المصادقة بسبب وجود باب خلفي مبرمج بشكل ثابت. تقوم الدالة
arve uc init()، التي يتم تنفيذها قبل عمليات التحقق من المصادقة في كل طلب، بمعالجة رمز مميز يتم توفيره عبر المعلمات wplogin أو wpm. ويتم مقارنة هذا الرمز المميز بتجزئة SHA-256 ثابتة مضمنة في كود مصدر المكون الإضافي دون التحقق من الرقم العشوائي (nonce) أو فحص الصلاحيات أو التحقق من صحة كلمة المرور. ونظرًا لأن هذا التجزئة متاح للجمهور، يمكن للمهاجمين غير المصادق عليهم استخدام الرمز المميز لتقمص هوية أي حساب مسؤول موجود والحصول على السيطرة الكاملة على موقع WordPress.التوصيات
بالنسبة للإصدار 10.8.7، لا توجد في الوقت الحالي أي معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾