CVE-2026-18072

Nome do Software Vulnerável e Versões Afetadas Advanced Responsive Video Embedder for Rumble, Odysee, YouTube, Vimeo, Kick … versão 10.8.7

Description Existe uma falha de bypass de autenticação devido a um backdoor hardcoded. A função arve uc init(), que é executada antes das verificações de autenticação em cada requisição, processa um token fornecido através dos parâmetros wplogin ou wpm. Este token é comparado com um hash SHA-256 estático incorporado no código-fonte do plugin, sem verificação de nonce, verificação de capacidade ou validação de senha. Como este hash é publicamente acessível, atacantes não autenticados podem usar o token para se autenticarem como qualquer conta de administrador existente e obter controle total do site WordPress.

Recommendations Para a versão 10.8.7, no momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.