CVE-2026-6400 in Child Height Predictor by Ostheimer Plugin
الملخص
بحسب VulDB • 20/05/2026
يُعدّ إضافة Child Height Predictor من تطوير Ostheimer لمنصة ووردبريس عرضة لهجوم تزوير الطلبات عبر المواقع (Cross-Site Request Forgery) في جميع الإصدارات حتى 1.3 شاملاً. ويعود ذلك إلى غياب التحقق من الرمز غير القابل للتكرار (nonce) في الدالة options()، التي تتولى تحديث إعدادات الإضافة. ولا يتضمن قالب النموذج استدعاءً لدالة wp_nonce_field()، كما أن معالج الطلبات لا يستدعي أبداً دالتي check_admin_referer() أو wp_verify_nonce(). وهذا ما يمكّن المهاجمين غير المصادق عليهم من خداع مسؤول الموقع للنقر على رابط أو زيارة صفحة خبيثة تُرسل طلب POST مزوراً، مما يؤدي إلى إحداث تغييرات غير مصرح بها في إعدادات الإضافة، مثل تفضيلات الوحدات، والتي يتم حفظها في قاعدة البيانات عبر دالة update_option().
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.