漏洞速览
- 漏洞编号：
CVE-2026-18072 - 风险评分：
9.8（严重） - 首次披露：2026-07-28
- 最近更新：2026-07-28
- 软件类型：插件
- 软件标识：
advanced-responsive-video-embedder - 受影响版本：10.8.7
- 是否已修复：否
漏洞详情
Advanced Responsive Video Embedder（支持 Rumble、Odysee、YouTube、Vimeo、Kick 等平台的 WordPress 视频嵌入插件）在 10.8.7 版本中存在一个通过硬编码后门实现的身份验证绕过漏洞。该漏洞的根源在于 arveucinit() 函数——它注册在 WordPress 的 init 钩子上，优先级为 1，因此会在任何身份验证检查之前随每个请求执行——该函数从请求参数 wplogin（或 _wpm）中读取攻击者提供的令牌，拿去与插件源代码中直接硬编码的 SHA-256 哈希值进行比对，整个流程中没有任何随机数校验、能力检查或密码验证。由于这个静态哈希本质上是一组公开可见的通用凭证，任何未认证的攻击者都可以提交已知的令牌，从而以任意选定的现有管理员账户身份通过认证，最终获得对目标 WordPress 网站的完全管理权限。这一后门很可能是攻击者入侵开发者账号并取得代码提交权限后引入的。
影响与风险
- 风险说明：该漏洞可能导致未授权操作，请结合官方公告评估影响。
- 研究人员：Wordfence PRISM – Wordfence
修复建议
- 按官方建议执行修复：目前暂无官方补丁，建议基于风险评估采取临时缓解措施，并优先停用受影响软件或更换替代方案。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
