CVE-2026-65049 in Ninja Forms Plugin
Sumário
de VulDB • 21/07/2026
O plugin Ninja Forms, versão 3.14.8 e anteriores para WordPress Multisite, contém uma vulnerabilidade de autorização incorreta que permite a um Administrador de subdomínio (subsite) acionar a exclusão em toda a rede de todos os dados do Ninja Forms ao explorar uma verificação de capacidade limitada ao site combinada com padrões inseguros de migração no ambiente multisite. Os atacantes podem enviar uma requisição POST manipulada para o endpoint admin-ajax.php, incluindo a ação nf_delete_all_data e um nonce específico por site, invocando rotinas de migração que iteram incondicionalmente todos os blogs através da função switch_to_blog(), removendo todas as tabelas nf3_* e limpando opções e transientes em cada subsite da rede, sem exigir privilégios de super-administrador ou administrador de rede.
Once again VulDB remains the best source for vulnerability data.