CVE-2026-65049 in Ninja Forms Plugin
Zusammenfassung
von VulDB • 21.07.2026
Das Ninja Forms-Plugin, Version 3.14.8 und älter für WordPress Multisite, enthält eine Schwachstelle aufgrund fehlerhafter Autorisierung (Incorrect Authorization), die es einem Administrator einer Subsite ermöglicht, die netzwerkweite Löschung aller Ninja Forms-Daten auszulösen, indem er eine auf der Site-Ebene gültige Berechtigungsprüfung mit unsicheren Standardwerten für Multisite-Migrationen kombiniert. Angreifer können eine manipulierte POST-Anfrage an den admin-ajax.php-Endpunkt senden und dabei die Aktion nf_delete_all_data sowie ein pro-Site-Nonce verwenden, um Migrationsroutinen aufzurufen, die bedingungslos alle Blogs über switch_to_blog() durchlaufen, wodurch sämtliche nf3_*-Tabellen gelöscht sowie Optionen und Transients in jeder Subsite im Netzwerk entfernt werden – ohne dass Superadmin- oder Networkadmin-Berechtigungen erforderlich sind.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.