Zranitelnosti pluginů pro WordPress: sedm pluginů včetně NextGEN Gallery

Osm zranitelností v sedmi pluginech pro WordPress bylo zveřejněno mezi 10. a 13. listopadem 2026. Nejzávažnější, se skóre CVSS 8,8, se týkají pluginů Widget Options a SureDash. Nejrozšířenější plugin v tomto seznamu je NextGEN Gallery s 300 000 aktivními instalacemi. U žádné ze zranitelností není uváděno, že by byla aktivně zneužívána.

Widget Options – Advanced Conditional Visibility for Gutenberg Blocks & Classic Widgets (100 000 aktivních instalací)

Chyba typu injekce kódu umožňuje přihlášeným uživatelům s oprávněním Author a vyšším vkládat výrazy PHP, které se spustí při každém zobrazení stránky na webu. Mohou tak odhalit konfigurační údaje webu a při případném rozšíření seznamu povolených funkcí jiným pluginem až neomezené spuštění kódu. Přispěvatelé ji mohou zneužít také tehdy, pokud správce nebo editor jejich příspěvek později publikuje. Dotčené jsou všechny verze až do 4.2.6.1 včetně (CVE-2026-116615, CVSS 8,8). Aktualizujte na nejnovější verzi, nebo plugin deaktivujte a odstraňte, pokud aktualizace není k dispozici.

SureDash – Community, Courses & Member Dashboard (1 000 aktivních instalací)

Chyba eskalace oprávnění umožňuje přihlášeným uživatelům s rolí Portal Manager a vyšší změnit výchozí roli pro nové registrace na administrátora a následně zaregistrovat úplný účet administrátora. Dotčené jsou všechny verze až do 1.13.0 včetně (CVE-2026-123769, CVSS 8,8). Aktualizujte na nejnovější verzi a zkontrolujte seznam uživatelů a nastavení výchozí role pluginu, zda neobsahují neočekávané změny.

Everest Forms (90 000 aktivních instalací)

Tyto chyby se týkají tohoto pluginu, a to dvě. CVE-2026-120513 (CVSS 8,2) umožňuje nepřihlášeným návštěvníkům mazat soubory v adresáři wp-content/uploads ve verzích až do 3.6.2 včetně, pokud je aktivní doplněk Save-and-Continue a u cílového formuláře je zapnuto nastavení „Disable storing entry information“. CVE-2026-115483 (CVSS 7,5) umožňuje nepřihlášeným návštěvníkům číst libovolné soubory, například wp-config.php, ve verzích až do 3.6.3 včetně; vyžaduje doplněk Everest Forms Pro a formulář s povolenými přílohami souborů a polem typu podpis. Aktualizujte na nejnovější verzi, která musí být novější než 3.6.3.

Drag and Drop File Upload for Elementor Forms (1 000 aktivních instalací)

Chyba libovolného mazání souborů ve funkci remove_files umožňuje nepřihlášeným návštěvníkům mazat soubory na serveru, což může vést ke vzdálenému spuštění kódu, pokud je smazán soubor jako wp-config.php. Je dosažitelná, když je zapnuta možnost ochrany soukromí „yeepdf_not_save“. Dotčené jsou všechny verze až do 1.6.2 včetně (CVE-2026-124218, CVSS 8,2). Aktualizujte na nejnovější verzi.

Photo Gallery, Sliders, Proofing and Themes – NextGEN Gallery (300 000 aktivních instalací)

Chyba libovolného mazání souborů ve funkci handle_job umožňuje přihlášeným uživatelům s oprávněním „NextGEN Manage gallery“ mazat soubory na serveru, což může vést ke vzdálenému spuštění kódu, pokud je smazán soubor jako wp-config.php. Toto oprávnění mají ve výchozím nastavení administrátoři, ale na obrazovce Roles pluginu jej lze přidělit nižším rolím. Dotčené jsou všechny verze až do 4.5.5 včetně (CVE-2026-118191, CVSS 8,1). Aktualizujte na nejnovější verzi a zkontrolujte, které role toto oprávnění dostaly.

Ultra Addons for Contact Form 7 (60 000 aktivních instalací)

Chyba procházení adresářů umožňuje nepřihlášeným návštěvníkům číst libovolné soubory na serveru, které mohou obsahovat citlivé údaje. Zneužití vyžaduje aktivní doplněk PDF Generator a povolenou šablonu těla PDF pro cílový formulář. Dotčené jsou všechny verze až do 3.5.54 včetně (CVE-2026-100386, CVSS 7,5). Aktualizujte na nejnovější verzi, nebo plugin deaktivujte a odstraňte, pokud aktualizace není k dispozici.

Gutenverse Form (10 000 aktivních instalací)

Chyba injekce vzorců CSV umožňuje nepřihlášeným návštěvníkům ukládat tabulkové vzorce prostřednictvím odeslaných formulářů. Ty se spustí, když správce otevře exportovaný soubor CSV, a mohou vést k úniku dat nebo spuštění příkazů na pracovní stanici správce. Dotčené jsou verze před 3.2.2 (CVE-2026-124018, CVSS 7,1). Aktualizujte na verzi 3.2.2 nebo novější a s dříve exportovanými soubory CSV zacházejte opatrně.

Jak zkontrolovat své weby

V administraci WordPressu otevřete na každém webu položku Pluginy > Nainstalované pluginy a porovnejte nainstalované verze s výše uvedenými. Pomocí WP-CLI spusťte příkaz wp plugin list, který zobrazí všechny pluginy s jejich verzemi a dostupnými aktualizacemi, a poté aktualizujte příkazem wp plugin update <plugin-slug>. Pokud je plugin nainstalovaný, ale nepotřebný, deaktivujte jej a odstraňte.

Zdroje

• https://nvd.nist.gov/vuln/detail/CVE-2026-100386
• https://nvd.nist.gov/vuln/detail/CVE-2026-115483