PT-2026-61952
CVE-2026-65049
·
تاريخ النشر
2026-07-21
·
تاريخ التحديث
2026-07-21
الوصف من
CVSS 3.1
9.3
حرجةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:N/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات المكون الإضافي Ninja Forms الأقدم من 3.14.9
الوصف
توجد مشكلة تتعلق بالتصريح غير الصحيح في بيئات WordPress Multisite. يمكن لمسؤول موقع فرعي أن يؤدي إلى حذف جميع بيانات Ninja Forms على مستوى الشبكة من خلال استغلال فحص الصلاحيات على نطاق الموقع والإعدادات الافتراضية غير الآمنة لعملية الترحيل بين المواقع المتعددة. ويتم تحقيق ذلك عن طريق إرسال طلب POST مُصمم خصيصًا إلى نقطة النهاية ’admin-ajax.php‘ باستخدام الإجراء
nf delete all data ورقم عشوائي خاص بكل موقع. تستدعي هذه العملية إجراءات الترحيل التي تستخدم الدالة switch to blog() للتنقل عبر جميع المدونات، مما يؤدي إلى حذف جميع الجداول nf3 * ومسح الخيارات والبيانات المؤقتة عبر كل موقع فرعي في الشبكة دون الحاجة إلى امتيازات المسؤول الأعلى أو مسؤول الشبكة.التوصيات
قم بتحديث المكون الإضافي Ninja Forms إلى الإصدار 3.14.9 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾