WordPress-Plugin-Schwachstellen: 7 Plugins, darunter NextGEN Gallery

Zwischen dem 10. und dem 13. November 2026 wurden acht Schwachstellen in sieben WordPress-Plugins offengelegt. Die gravierendsten, mit einem CVSS-Wert von 8,8, betreffen Widget Options und SureDash. Das in dieser Liste am weitesten verbreitete Plugin ist NextGEN Gallery mit 300.000 aktiven Installationen. Für keine der Schwachstellen wird berichtet, dass sie aktiv ausgenutzt wird.

Widget Options – Advanced Conditional Visibility for Gutenberg Blocks & Classic Widgets (100.000 aktive Installationen)

Eine Schwachstelle zur Code-Injection erlaubt angemeldeten Nutzern mit Zugriffsrechten auf Autorenebene und höher, PHP-Ausdrücke einzuschleusen, die bei jedem Seitenaufruf im Frontend ausgeführt werden. Dadurch können Konfigurationsdaten der Website offengelegt werden. Wird die Liste der erlaubten Funktionen durch ein anderes Plugin erweitert, kann daraus eine uneingeschränkte Codeausführung werden. Auch Beitragende können die Lücke ausnutzen, wenn ein Administrator oder Redakteur ihren Beitrag später veröffentlicht. Alle Versionen bis einschließlich 4.2.6.1 sind betroffen (CVE-2026-116615, CVSS 8,8). Aktualisieren Sie auf die neueste Version. Falls kein Update verfügbar ist, deaktivieren und entfernen Sie das Plugin.

SureDash – Community, Courses & Member Dashboard (1.000 aktive Installationen)

Eine Schwachstelle zur Rechteerweiterung erlaubt angemeldeten Nutzern mit der Rolle Portal Manager und höher, die Standardrolle für neue Registrierungen auf Administrator zu ändern und anschließend ein vollständiges Administratorkonto zu registrieren. Alle Versionen bis einschließlich 1.13.0 sind betroffen (CVE-2026-123769, CVSS 8,8). Aktualisieren Sie auf die neueste Version und prüfen Sie die Benutzerliste sowie die Einstellung der Standardrolle des Plugins auf unerwartete Änderungen.

Everest Forms (90.000 aktive Installationen)

Von diesem Plugin sind zwei Schwachstellen betroffen. CVE-2026-120513 (CVSS 8,2) erlaubt nicht angemeldeten Besuchern, Dateien innerhalb von wp-content/uploads zu löschen, in Versionen bis einschließlich 3.6.2. Voraussetzung ist, dass das Addon Save-and-Continue aktiv ist und bei dem betroffenen Formular die Option „Disable storing entry information“ aktiviert ist. CVE-2026-115483 (CVSS 7,5) erlaubt nicht angemeldeten Besuchern, beliebige Dateien wie wp-config.php auszulesen, in Versionen bis einschließlich 3.6.3. Dafür sind das Add-on Everest Forms Pro und ein Formular mit aktivierten Dateianhängen sowie einem Feld vom Typ Signatur erforderlich. Aktualisieren Sie auf die neueste Version, die neuer als 3.6.3 sein muss.

Drag and Drop File Upload for Elementor Forms (1.000 aktive Installationen)

Eine Schwachstelle zum beliebigen Löschen von Dateien in der Funktion remove_files erlaubt nicht angemeldeten Besuchern, Dateien auf dem Server zu löschen. Wird dabei eine Datei wie wp-config.php gelöscht, kann dies zur Remote-Code-Ausführung führen. Die Lücke ist erreichbar, wenn die Datenschutzoption „yeepdf_not_save“ aktiviert ist. Alle Versionen bis einschließlich 1.6.2 sind betroffen (CVE-2026-124218, CVSS 8,2). Aktualisieren Sie auf die neueste Version.

Photo Gallery, Sliders, Proofing and Themes – NextGEN Gallery (300.000 aktive Installationen)

Eine Schwachstelle zum beliebigen Löschen von Dateien in der Funktion handle_job erlaubt angemeldeten Nutzern mit der Berechtigung „NextGEN Manage gallery“, Dateien auf dem Server zu löschen. Wird dabei eine Datei wie wp-config.php gelöscht, kann dies zur Remote-Code-Ausführung führen. Diese Berechtigung liegt standardmäßig bei Administratoren, kann aber auf der Seite Roles des Plugins an niedrigere Rollen delegiert werden. Alle Versionen bis einschließlich 4.5.5 sind betroffen (CVE-2026-118191, CVSS 8,1). Aktualisieren Sie auf die neueste Version und prüfen Sie, welchen Rollen diese Berechtigung zugewiesen wurde.

Ultra Addons for Contact Form 7 (60.000 aktive Installationen)

Eine Schwachstelle durch Directory Traversal erlaubt nicht angemeldeten Besuchern, beliebige Dateien auf dem Server auszulesen, die sensible Informationen enthalten können. Voraussetzung ist, dass das Addon PDF Generator aktiv ist und für das betroffene Formular eine PDF-Body-Vorlage aktiviert ist. Alle Versionen bis einschließlich 3.5.54 sind betroffen (CVE-2026-100386, CVSS 7,5). Aktualisieren Sie auf die neueste Version. Falls kein Update verfügbar ist, deaktivieren und entfernen Sie das Plugin.

Gutenverse Form (10.000 aktive Installationen)

Eine Schwachstelle durch CSV-Formelinjektion erlaubt nicht angemeldeten Besuchern, Tabellenkalkulationsformeln über Formularübermittlungen zu speichern. Diese werden ausgeführt, sobald ein Administrator eine exportierte CSV-Datei öffnet. Dies kann zum Abfluss von Daten oder zur Befehlsausführung auf dem Arbeitsplatzrechner des Administrators führen. Versionen vor 3.2.2 sind betroffen (CVE-2026-124018, CVSS 7,1). Aktualisieren Sie auf Version 3.2.2 oder neuer und behandeln Sie zuvor exportierte CSV-Dateien mit Vorsicht.

So prüfen Sie Ihre Websites

Öffnen Sie im WordPress-Dashboard auf jeder Website Plugins > Installierte Plugins und vergleichen Sie die installierten Versionen mit den oben genannten. Mit WP-CLI zeigt wp plugin list alle Plugins mit ihren Versionen und verfügbaren Updates an. Aktualisieren Sie anschließend mit wp plugin update <plugin-slug>. Wenn ein Plugin installiert, aber nicht benötigt wird, deaktivieren und entfernen Sie es.

Quellen

• https://nvd.nist.gov/vuln/detail/CVE-2026-100386
• https://nvd.nist.gov/vuln/detail/CVE-2026-115483