CVE-2026-65049

Nome do Software Vulnerável e Versões Afetadas Ninja Forms plugin versões anteriores a 3.14.9

Descrição Um problema de autorização incorreta existe em ambientes WordPress Multisite. Um Administrador de subsite pode acionar a exclusão global de todos os dados do Ninja Forms explorando uma verificação de capacidade com escopo de site e padrões de migração multisite inseguros. Isso é feito enviando uma requisição POST manipulada para o endpoint 'admin-ajax.php' usando a ação nf delete all data e um nonce por site. Esse processo invoca rotinas de migração que utilizam a função switch to blog() para iterar por todos os blogs, excluindo todas as tabelas nf3 * e limpando opções e transientes em todos os subsites da rede sem a necessidade de privilégios de super-admin ou network-admin.

Recomendações Atualize o plugin Ninja Forms para a versão 3.14.9 ou posterior.