Advanced Responsive Video Embedder for Rumble, Odysee, YouTube, Vimeo, Kick 插件超危漏洞预警（CVE-2026-18072）

漏洞速览

• 漏洞编号：CVE-2026-18072
• 风险评分：9.8（严重）
• 首次披露：2026-07-28
• 最近更新：2026-07-29
• 软件类型：插件
• 软件标识：advanced-responsive-video-embedder
• 受影响版本：10.8.7
• 是否已修复：否

漏洞详情

Advanced Responsive Video Embedder（支持Rumble、Odysee、YouTube、Vimeo、Kick等平台的WordPress插件）在10.8.7版本中存在硬编码后门导致身份验证绕过。漏洞根源在于arveucinit()函数——它在WordPress的init钩子上以优先级1注册，因而在任何身份验证检查之前便在每次请求时执行——该函数从wplogin（或_wpm）参数读取攻击者提供的token，并将其与插件源码中硬编码的SHA‑256哈希进行比较，且整个过程没有nonce校验、能力检查或密码验证。由于该固定哈希是公开可见的通用凭证，未经身份验证的攻击者可使用已知token冒充任意已有的管理员账户，从而获得受影响WordPress站点的完整管理权限。该漏洞很可能是攻击者在获取开发者账户提交权限后植入的。过去24小时内，Wordfence已拦截针对该漏洞的322次攻击。

影响与风险

• 风险说明：该漏洞可能导致未授权操作，请结合官方公告评估影响。
• 研究人员：Wordfence PRISM – Wordfence

修复建议

1. 按官方建议执行修复：目前暂无官方补丁，建议基于风险评估采取临时缓解措施，并优先停用受影响软件或更换替代方案。
2. 复核 administrator/shop manager 等高权限账号与角色授权。
3. 排查近期插件安装/配置变更记录，确认无异常写入。
4. 建议配合 WAF 与登录审计，持续观察可疑请求。

延伸阅读

• Wordfence 原始漏洞记录
• WordPress 插件页面
• CVE 官方记录
• CVSS 3.1 评分说明