Уязвимости в плъгини за WordPress: 7 плъгина, включително NextGEN Gallery

Осем уязвимости в седем плъгина за WordPress бяха оповестени между 10 и 13 ноември 2026 г. Най-сериозните, с CVSS оценка 8.8, засягат Widget Options и SureDash. Най-широко използваният плъгин в този списък е NextGEN Gallery с 300 000 активни инсталации. За нито една от уязвимостите не се съобщава, че се експлоатира активно.

Widget Options – Advanced Conditional Visibility for Gutenberg Blocks & Classic Widgets (100 000 активни инсталации)

Пропуск за инжектиране на код позволява на влезли потребители с ниво на достъп Author и по-високо да инжектират PHP изрази, които се изпълняват при всяко преглеждане на страница от публичната част, което може да разкрие данни за конфигурацията на сайта и да доведе до неограничено изпълнение на код, ако друг плъгин разшири разрешения списък с функции. Съавторите могат да експлоатират пропуска и ако администратор или редактор впоследствие публикува тяхното представяне. Засегнати са всички версии до и including 4.2.6.1 включително (CVE-2026-116615, CVSS 8.8). Актуализирайте до последната версия или деактивирайте и премахнете плъгина, ако няма налична актуализация.

SureDash – Community, Courses & Member Dashboard (1 000 активни инсталации)

Пропуск за повишаване на привилегии позволява на влезли потребители с роля Portal Manager и по-висока да променят ролята по подразбиране за нови регистрации на администратор и след това да регистрират пълноправен администраторски акаунт. Засегнати са всички версии до и включително 1.13.0 (CVE-2026-123769, CVSS 8.8). Актуализирайте до последната версия и прегледайте списъка с потребители и настройката за роля по подразбиране на плъгина за неочаквани промени.

Everest Forms (90 000 активни инсталации)

Два пропуска засягат този плъгин. CVE-2026-120513 (CVSS 8.2) позволява на неудостоверени посетители да изтриват файлове в wp-content/uploads в версии до и включително 3.6.2, при условие че добавката Save-and-Continue е активна и за целевата форма е включена опцията „Disable storing entry information“. CVE-2026-115483 (CVSS 7.5) позволява на неудостоверени посетители да четат произволни файлове, например wp-config.php, в версии до и включително 3.6.3; изисква добавката Everest Forms Pro и форма с включени файлови прикачвания и поле от тип подпис. Актуализирайте до последната версия, която трябва да е по-нова от 3.6.3.

Drag and Drop File Upload for Elementor Forms (1 000 активни инсталации)

Пропуск за произволно изтриване на файлове във функцията remove_files позволява на неудостоверени посетители да изтриват файлове на сървъра, което може да доведе до отдалечено изпълнение на код, ако бъде изтрит файл като wp-config.php. Достъпен е, когато е включена опцията за поверителност „yeepdf_not_save“. Засегнати са всички версии до и включително 1.6.2 (CVE-2026-124218, CVSS 8.2). Актуализирайте до последната версия.

Photo Gallery, Sliders, Proofing and Themes – NextGEN Gallery (300 000 активни инсталации)

Пропуск за произволно изтриване на файлове във функцията handle_job позволява на влезли потребители с възможността „NextGEN Manage gallery“ да изтриват файлове на сървъра, което може да доведе до отдалечено изпълнение на код, ако бъде изтрит файл като wp-config.php. По подразбиране тази възможност принадлежи на администраторите, но може да бъде делегирана на по-ниски роли в екрана Roles на плъгина. Засегнати са всички версии до и включително 4.5.5 (CVE-2026-118191, CVSS 8.1). Актуализирайте до последната версия и проверете кои роли са получили тази възможност.

Ultra Addons for Contact Form 7 (60 000 активни инсталации)

Пропуск за обхождане на директории позволява на неудостоверени посетители да четат произволни файлове на сървъра, които може да съдържат поверителна информация. Експлоатацията изисква добавката PDF Generator да е активна и шаблон за тялото на PDF да е включен за засегнатата форма. Засегнати са всички версии до и включително 3.5.54 (CVE-2026-100386, CVSS 7.5). Актуализирайте до последната версия или деактивирайте и премахнете плъгина, ако няма налична актуализация.

Gutenverse Form (10 000 активни инсталации)

Пропуск за инжектиране на формули в CSV файлове позволява на неудостоверени посетители да съхраняват електронни таблични формули чрез изпращане на формуляри. Те се изпълняват, когато администратор отвори експортиран CSV файл, и могат да доведат до изтичане на данни или изпълнение на команди на работната станция на администратора. Засегнати са версии преди 3.2.2 (CVE-2026-124018, CVSS 7.1). Актуализирайте до версия 3.2.2 или по-нова и внимавайте с вече експортираните CSV файлове.

Как да проверите сайтовете си

В таблото на WordPress отворете Plugins > Installed Plugins на всеки сайт и сравнете инсталираните версии с посочените по-горе. С WP-CLI изпълнете wp plugin list, за да видите всички плъгини с техните версии и налични актуализации, след което актуализирайте с wp plugin update <plugin-slug>. Когато даден плъгин е инсталиран, но не се използва, деактивирайте и премахнете го.

Източници

• https://nvd.nist.gov/vuln/detail/CVE-2026-100386
• https://nvd.nist.gov/vuln/detail/CVE-2026-115483