Sårbarheder i WordPress-plugins: 7 plugins, herunder NextGEN Gallery

Otte sårbarheder i syv WordPress-plugins blev offentliggjort mellem den 10. og 13. november 2026. De mest alvorlige, med en CVSS-score på 8,8, berører Widget Options og SureDash. Det mest udbredte plugin på listen er NextGEN Gallery med 300.000 aktive installationer. Ingen af sårbarhederne er rapporteret som aktivt udnyttet.

Widget Options – Advanced Conditional Visibility for Gutenberg Blocks & Classic Widgets (100.000 aktive installationer)

En kodeindsprøjtningsfejl gør det muligt for loggede brugere med Author-niveau og derover at indsætte PHP-udtryk, som køres ved hver visning af en side på frontend. Det kan afsløre data om webstedets konfiguration og kan eskalere til ubegrænset kodeudførelse, hvis et andet plugin udvider listen over tilladte funktioner. Contributors kan også udnytte fejlen, hvis en administrator eller redaktør senere udgiver deres indlæg. Alle versioner til og med 4.2.6.1 er berørt (CVE-2026-116615, CVSS 8,8). Opdater til den nyeste version, eller deaktiver og fjern pluginet, hvis der ikke findes en opdatering.

SureDash – Community, Courses & Member Dashboard (1.000 aktive installationer)

En fejl i rettighedshåndteringen gør det muligt for loggede brugere med rollen Portal Manager og derover at ændre standardrollen for nye registreringer til administrator og derefter oprette en fuld administratorkonto. Alle versioner til og med 1.13.0 er berørt (CVE-2026-123769, CVSS 8,8). Opdater til den nyeste version, og kontrollér brugerlisten og pluginets indstilling for standardrolle for uventede ændringer.

Everest Forms (90.000 aktive installationer)

To fejl berører dette plugin. CVE-2026-120513 (CVSS 8,2) giver uautentificerede besøgende mulighed for at slette filer i wp-content/uploads i versioner til og med 3.6.2, forudsat at Save-and-Continue-addonet er aktivt, og at den pågældende formular har 'Disable storing entry information' slået til. CVE-2026-115483 (CVSS 7,5) giver uautentificerede besøgende mulighed for at læse vilkårlige filer såsom wp-config.php i versioner til og med 3.6.3. Det kræver Everest Forms Pro-tilføjelsen og en formular med filvedhæftninger aktiveret og et felt af typen signatur. Opdater til den nyeste version, som skal være nyere end 3.6.3.

Drag and Drop File Upload for Elementor Forms (1.000 aktive installationer)

En fejl, der tillader vilkårlig sletning af filer i funktionen remove_files, gør det muligt for uautentificerede besøgende at slette filer på serveren. Det kan føre til fjernudførelse af kode, hvis en fil som wp-config.php slettes. Fejlen kan nås, når privatlivsindstillingen "yeepdf_not_save" er aktiveret. Alle versioner til og med 1.6.2 er berørt (CVE-2026-124218, CVSS 8,2). Opdater til den nyeste version.

Photo Gallery, Sliders, Proofing and Themes – NextGEN Gallery (300.000 aktive installationer)

En fejl, der tillader vilkårlig sletning af filer i funktionen handle_job, gør det muligt for loggede brugere med rettigheden 'NextGEN Manage gallery' at slette filer på serveren. Det kan føre til fjernudførelse af kode, hvis en fil som wp-config.php slettes. Denne rettighed tilhører som standard administratorer, men kan uddelegeres til lavere roller på pluginets Roles-skærmbillede. Alle versioner til og med 4.5.5 er berørt (CVE-2026-118191, CVSS 8,1). Opdater til den nyeste version, og kontrollér, hvilke roller der har fået denne rettighed.

Ultra Addons for Contact Form 7 (60.000 aktive installationer)

En directory traversal-fejl gør det muligt for uautentificerede besøgende at læse vilkårlige filer på serveren, som kan indeholde følsomme oplysninger. Udnyttelse kræver, at PDF Generator-addonet er aktivt, og at en PDF-brødtekstskabelon er aktiveret for den pågældende formular. Alle versioner til og med 3.5.54 er berørt (CVE-2026-100386, CVSS 7,5). Opdater til den nyeste version, eller deaktiver og fjern pluginet, hvis der ikke findes en opdatering.

Gutenverse Form (10.000 aktive installationer)

En CSV-formelindsprøjtningsfejl gør det muligt for uautentificerede besøgende at gemme regnearksformler via formularindsendelser. Formlerne udføres, når en administrator åbner en eksporteret CSV-fil, og kan føre til dataudtræk eller kommandoudførelse på administratorens arbejdsstation. Versioner før 3.2.2 er berørt (CVE-2026-124018, CVSS 7,1). Opdater til version 3.2.2 eller nyere, og behandl tidligere eksporterede CSV-filer med forsigtighed.

Sådan kontrollerer du dine websteder

I WordPress-dashboardet skal du åbne Plugins > Installerede plugins på hvert websted og sammenligne de installerede versioner med dem, der er nævnt ovenfor. Med WP-CLI kan du køre wp plugin list for at se alle plugins med deres versioner og tilgængelige opdateringer og derefter opdatere med wp plugin update <plugin-slug>. Hvis et plugin er installeret, men ikke er nødvendigt, bør du deaktivere og fjerne det.

Kilder

• https://nvd.nist.gov/vuln/detail/CVE-2026-100386
• https://nvd.nist.gov/vuln/detail/CVE-2026-115483