CVE-2026-6401 in Bottom Bar Plugin
الملخص
بحسب VulDB • 24/05/2026
يحتوي مكون WordPress "Bottom Bar" على ثغرة في طلبات التزوير عبر المواقع (CSRF) في جميع الإصدارات حتى 0.1.7 شاملاً. ويعود ذلك إلى عدم التحقق من صحة الرمز العشوائي (nonce) في نماذج تحديث إعدادات المكون التي يتم معالجتها في الملف bottom-bar-admin.php. لا تتضمن أي من نماذج الإعدادات الثلاثة (الإعدادات الرئيسية، وخدمات المشاركة، واستعادة الإعدادات الافتراضية) حقل wp_nonce_field()، ولا يستدعي كود المعالجة على جانب الخادم دالة check_admin_referer() أو أي دالة مكافئة للتحقق من صحة الرمز العشوائي قبل معالجة بيانات POST واستدعاء update_option(). وهذا يتيح للمهاجمين غير المصادق عليهم خداع مسؤول مسجل الدخول لتقديم طلب مُعدّ بعناية يقوم بتحديث خيارات تكوين المكون، مثل تغيير اللغة، أو الحد الأقصى لعدد المنشورات، أو خدمات المشاركة المفعّلة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.