CVE-2026-65049
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka Ninja Forms w wersji 3.14.8 i starszej dla WordPress Multisite zawiera podatność nieprawidłowej autoryzacji, która umożliwia administratorowi podstrony wywołanie usunięcia wszystkich danych Ninja Forms w całej sieci. Atakujący może wysłać spreparowane żądanie POST do endpointu admin-ajax.php z akcją nf_delete_all_data i noncem per-site, aby uruchomić procedury migracyjne, które bezwarunkowo iterują wszystkie blogi za pomocą switch_to_blog(), usuwając wszystkie tabele nf3_* oraz czyszcząc opcje i transienty na każdej podstronie w sieci bez wymagania uprawnień super-admina lub network-admina.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości całkowitej utraty danych Ninja Forms we wszystkich witrynach w sieci WordPress Multisite przez pojedynczego administratora podstrony, co może prowadzić do poważnych zakłóceń działania i utraty krytycznych informacji.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Ninja Forms do najnowszej wersji, która usuwa tę podatność, oraz ograniczenie zaufania do administratorów podstron w środowisku Multisite.
Oryginalny opis (angielski, źródło NVD)
Ninja Forms plugin version 3.14.8 and prior for WordPress Multisite contains an incorrect authorization vulnerability that allows a subsite Administrator to trigger network-wide deletion of all Ninja Forms data by exploiting a site-scoped capability check combined with unsafe multisite migration defaults. Attackers can send a crafted POST request to the admin-ajax.php endpoint with the nf_delete_all_data action and a per-site nonce to invoke migration routines that unconditionally iterate all blogs via switch_to_blog(), dropping all nf3_* tables and clearing options and transients across every subsite in the network without requiring super-admin or network-admin privileges.