CVE-2026-65049

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.3
EPSS: 0.4%
CWE: CWE-863
KEV Durumu: Hayır

Yayım tarihi: 21 Temmuz 2026

Ninja Forms eklentisinin 3.14.8 ve önceki sürümleri, WordPress Multisite için, yetkilendirme konusunda yanlış bir yaklaşım içerir ve bu da bir alt site Yöneticisinin, site kapsamlı yetenek kontrolünün yanı sıra güvenli olmayan multisite geçiş varsayımlarını kullanarak tüm Ninja Forms verilerini ağ genelinde silmesine olanak tanır. Saldırganlar, nf_delete_all_data eylemi ve bir site özel nonce ile admin-ajax.php endpointine özel olarak hazırlanmış bir POST isteği gönderebilir ve böylece super-admin veya network-admin ayrıcalıkları gerektirmeden tüm blogları switch_to_blog() kullanarak koşulsuz olarak iterate eden, tüm nf3_* tablolarını düşüren ve her alt sitedeki seçenekleri ve geçici verileri temizleyen geçiş rutinlerini çağırabilir.

Orijinal açıklama (İngilizce)

Ninja Forms plugin version 3.14.8 and prior for WordPress Multisite contains an incorrect authorization vulnerability that allows a subsite Administrator to trigger network-wide deletion of all Ninja Forms data by exploiting a site-scoped capability check combined with unsafe multisite migration defaults. Attackers can send a crafted POST request to the admin-ajax.php endpoint with the nf_delete_all_data action and a per-site nonce to invoke migration routines that unconditionally iterate all blogs via switch_to_blog(), dropping all nf3_* tables and clearing options and transients across every subsite in the network without requiring super-admin or network-admin privileges.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.