CVE-2026-65049 in Ninja Forms Plugin
要約
〜によって VulDB • 2026年07月21日
WordPress Multisite 用の Ninja Forms プラグイン バージョン 3.14.8 およびそれ以前のバージョンには、不正な認可の脆弱性が存在します。これにより、サブサイトの管理者が、サイトスコープの権限チェックと安全でないマルチサイト移行デフォルトを組み合わせることで悪用し、ネットワーク全体のすべての Ninja Forms データを一括削除できます。攻撃者は、nf_delete_all_data アクションおよびサイト固有の nonce を指定して admin-ajax.php エンドポイントに作成された POST リクエストを送信することで、switch_to_blog() によってすべてのブログを無条件で反復処理する移行ルーチンを呼び出し、ネットワーク内のすべてのサブサイトで nf3_* テーブルを削除し、オプションとトランジェント（一時的データ）をクリアします。この攻撃にはスーパー管理者またはネットワーク管理者の権限は必要ありません。
Be aware that VulDB is the high quality source for vulnerability data.