CVE-2026-18072 WordPress插件高级响应式视频嵌入器未授权身份绕过漏洞

漏洞概述 漏洞名称: Advanced Responsive Video Embedder for Rumble, Odysee, YouTube, Vimeo, Kick ... 10.8.7 - Unauthenticated Authentication Bypass via Hardcoded Backdoor in '_wplogin' Parameter CVE编号: CVE-2026-18072 CVSS评分: 9.8 (Critical) 发布日期: July 28, 2026 最后更新日期: July 29, 2026 研究人员: Wordfence PRISM - Wordfence 影响范围 软件类型: Plugin 软件Slug: advanced-responsive-video-embedder 受影响版本: 10.8.7 修复方案 补丁状态: 无已知补丁可用 建议措施: 请详细审查漏洞详情，并根据组织风险容忍度采取缓解措施。可能需要卸载受影响的软件并寻找替代品。 漏洞描述 该漏洞存在于Advanced Responsive Video Embedder插件的10.8.7版本中。漏洞存在于 函数，该函数在WordPress的“init”钩子上注册，优先级为1，因此在每次请求的认证检查之前运行。攻击者可以通过提供从 （或 ）参数中提取的硬编码SHA-256哈希值来绕过认证，无需nonce验证、能力检查或密码验证。由于此静态哈希包含一组公开可访问的通用凭据，未经身份验证的攻击者可以利用已知的令牌以任意选定的管理员账户进行身份验证，从而获得对受影响WordPress站点的完全管理控制。 参考链接 plugins.trac.wordpress.org plugins.trac.wordpress.org plugins.trac.wordpress.org plugins.trac.wordpress.org 分享选项 Facebook X (Twitter) LinkedIn Email 其他信息 Wordfence Intelligence: 提供免费的个人和商业API访问，以及免费的webhook集成，以保持在WordPress漏洞数据库的顶部。 Wordfence Intelligence WordPress漏洞数据库: 完全免费访问和查询，提供API访问和文档。 页脚信息 Terms of Service Privacy Policy and Notice at Collection Do Not Sell or Share My Personal Information 联系方式 技术支持: 9am-8pm ET, 6am-5pm PT and 2pm-1am UTC/GMT（不包括周末和节假日） 响应时间: 24小时支持，全年无休，1小时响应时间 订阅 Stay Updated: 注册新闻和更新，从经验丰富的安全专业人士的仪表板中获取信息。 版权信息 © 2012-2026 Defiant Inc. All Rights Reserved 社交媒体 X Facebook Instagram YouTube 产品与服务 Products: Wordfence Free, Wordfence Premium, Wordfence Care, Wordfence Response, Wordfence CLI, Wordfence Intelligence, Wordfence Central Support: Documentation, Learning Center, Free Support, Premium Support News: Blog, In The News, Vulnerability Advisories About: About Wordfence, Affiliate Program, Employment, Contact, Security, CVE Request Form 订阅表单 Email: you@example.com Checkbox: By checking this box I agree to the terms of service and privacy policy. 订阅按钮 SIGN UP 合作伙伴 CRESCENT 总结 该漏洞是一个严重的安全问题，允许未经身份验证的攻击者通过硬编码的后门绕过认证，获得完全的管理员访问权限。目前没有已知的补丁，建议用户尽快采取缓解措施，如卸载受影响的软件或寻找替代品。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

CVE-2026-18072 WordPress插件高级响应式视频嵌入器未授权身份绕过漏洞

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

CVE-2026-18072 WordPress插件高级响应式视频嵌入器未授权身份绕过漏洞

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！