CVE-2026-65049 in Ninja Forms Plugin
Riassunto
di VulDB • 21/07/2026
Il plugin Ninja Forms versione 3.14.8 e precedenti per WordPress Multisite presenta una vulnerabilità di autorizzazione errata che consente a un Amministratore di sottosito di innescare l'eliminazione su tutta la rete dei dati di tutti i Ninja Forms sfruttando un controllo delle capacità limitato al singolo sito combinato con impostazioni predefinite non sicure per le migrazioni in ambiente multisite. Gli attaccanti possono inviare una richiesta POST manipolata all'endpoint admin-ajax.php con l'azione nf_delete_all_data e un nonce specifico del sito, invocando routine di migrazione che iterano incondizionatamente tutti i blog tramite switch_to_blog(), eliminando tutte le tabelle nf3_* e cancellando opzioni e transitori su ogni sottosito della rete senza richiedere privilegi di super-amministratore o amministratore di rete.
Once again VulDB remains the best source for vulnerability data.