Ευπάθειες σε plugins του WordPress: 7 plugins, μεταξύ των οποίων το NextGEN Gallery

Οκτώ ευπάθειες σε επτά plugins του WordPress δημοσιοποιήθηκαν μεταξύ 10 και 13 Νοεμβρίου 2026. Η πιο σοβαρή, με βαθμολογία CVSS 8.8, επηρεάζει τα Widget Options και SureDash. Το πιο ευρέως χρησιμοποιούμενο plugin της λίστας είναι το NextGEN Gallery, με 300.000 ενεργές εγκαταστάσεις. Καμία από τις ευπάθειες δεν αναφέρεται ως ενεργά εκμεταλλευόμενη.

Widget Options – Advanced Conditional Visibility for Gutenberg Blocks & Classic Widgets (100.000 ενεργές εγκαταστάσεις)

Μια ευπάθεια έγχυσης κώδικα επιτρέπει σε χρήστες με συνδεδεμένη συνεδρία και δικαιώματα Author ή υψηλότερα να εισάγουν εκφράσεις PHP που εκτελούνται σε κάθε προβολή σελίδας στο μέτωπο του site. Αυτό μπορεί να εκθέσει δεδομένα ρύθμισης του site και να κλιμακωθεί σε απεριόριστη εκτέλεση κώδικα, αν άλλο plugin επεκτείνει τη λίστα επιτρεπόμενων συναρτήσεων. Οι Contributors μπορούν επίσης να την εκμεταλλευτούν, αν ένας administrator ή editor δημοσιεύσει αργότερα την υποβολή τους. Επηρεάζονται όλες οι εκδόσεις έως και την 4.2.6.1 συμπεριλαμβανομένης (CVE-2026-116615, CVSS 8.8). Ενημέρωσε στην τελευταία έκδοση, ή απενεργοποίησε και αφαίρεσε το plugin αν δεν υπάρχει διαθέσιμη ενημέρωση.

SureDash – Community, Courses & Member Dashboard (1.000 ενεργές εγκαταστάσεις)

Μια ευπάθεια κλιμάκωσης προνομίων επιτρέπει σε χρήστες με συνδεδεμένη συνεδρία και ρόλο Portal Manager ή υψηλότερο να αλλάξουν τον προεπιλεγμένο ρόλο για νέες εγγραφές σε administrator και στη συνέχεια να δημιουργήσουν πλήρη λογαριασμό διαχειριστή. Επηρεάζονται όλες οι εκδόσεις έως και την 1.13.0 συμπεριλαμβανομένης (CVE-2026-123769, CVSS 8.8). Ενημέρωσε στην τελευταία έκδοση και έλεγξε τη λίστα χρηστών και τη ρύθμιση προεπιλεγμένου ρόλου του plugin για απρόσμενες αλλαγές.

Everest Forms (90.000 ενεργές εγκαταστάσεις)

Δύο ευπάθειες επηρεάζουν αυτό το plugin. Η CVE-2026-120513 (CVSS 8.2) επιτρέπει σε μη συνδεδεμένους επισκέπτες να διαγράψουν αρχεία μέσα στο wp-content/uploads σε εκδόσεις έως και την 3.6.2 συμπεριλαμβανομένης, εφόσον το addon Save-and-Continue είναι ενεργό και η φόρμα-στόχος έχει ενεργοποιημένη την επιλογή 'Disable storing entry information'. Η CVE-2026-115483 (CVSS 7.5) επιτρέπει σε μη συνδεδεμένους επισκέπτες να διαβάσουν αυθαίρετα αρχεία, όπως το wp-config.php, σε εκδόσεις έως και την 3.6.3 συμπεριλαμβανομένης. Απαιτεί το add-on Everest Forms Pro και φόρμα με ενεργοποιημένα συνημμένα αρχεία και πεδίο τύπου υπογραφής. Ενημέρωσε στην τελευταία έκδοση, η οποία πρέπει να είναι νεότερη από την 3.6.3.

Drag and Drop File Upload for Elementor Forms (1.000 ενεργές εγκαταστάσεις)

Μια ευπάθεια αυθαίρετης διαγραφής αρχείων στη συνάρτηση remove_files επιτρέπει σε μη συνδεδεμένους επισκέπτες να διαγράψουν αρχεία στον διακομιστή, κάτι που μπορεί να οδηγήσει σε απομακρυσμένη εκτέλεση κώδικα αν διαγραφεί αρχείο όπως το wp-config.php. Είναι προσβάσιμη όταν είναι ενεργή η επιλογή απορρήτου "yeepdf_not_save". Επηρεάζονται όλες οι εκδόσεις έως και την 1.6.2 συμπεριλαμβανομένης (CVE-2026-124218, CVSS 8.2). Ενημέρωσε στην τελευταία έκδοση.

Photo Gallery, Sliders, Proofing and Themes – NextGEN Gallery (300.000 ενεργές εγκαταστάσεις)

Μια ευπάθεια αυθαίρετης διαγραφής αρχείων στη συνάρτηση handle_job επιτρέπει σε χρήστες με συνδεδεμένη συνεδρία και τη δυνατότητα 'NextGEN Manage gallery' να διαγράψουν αρχεία στον διακομιστή, κάτι που μπορεί να οδηγήσει σε απομακρυσμένη εκτέλεση κώδικα αν διαγραφεί αρχείο όπως το wp-config.php. Η δυνατότητα ανήκει στους administrators από προεπιλογή, αλλά μπορεί να ανατεθεί σε χαμηλότερους ρόλους από την οθόνη Roles του plugin. Επηρεάζονται όλες οι εκδόσεις έως και την 4.5.5 συμπεριλαμβανομένης (CVE-2026-118191, CVSS 8.1). Ενημέρωσε στην τελευταία έκδοση και έλεγξε ποιοι ρόλοι έχουν λάβει αυτή τη δυνατότητα.

Ultra Addons for Contact Form 7 (60.000 ενεργές εγκαταστάσεις)

Μια ευπάθεια directory traversal επιτρέπει σε μη συνδεδεμένους επισκέπτες να διαβάσουν αυθαίρετα αρχεία στον διακομιστή, τα οποία μπορεί να περιέχουν ευαίσθητες πληροφορίες. Η εκμετάλλευση απαιτεί να είναι ενεργό το addon PDF Generator και ενεργοποιημένο πρότυπο σώματος PDF για τη στοχευμένη φόρμα. Επηρεάζονται όλες οι εκδόσεις έως και την 3.5.54 συμπεριλαμβανομένης (CVE-2026-100386, CVSS 7.5). Ενημέρωσε στην τελευταία έκδοση, ή απενεργοποίησε και αφαίρεσε το plugin αν δεν υπάρχει διαθέσιμη ενημέρωση.

Gutenverse Form (10.000 ενεργές εγκαταστάσεις)

Μια ευπάθεια CSV formula injection επιτρέπει σε μη συνδεδεμένους επισκέπτες να αποθηκεύουν φόρμουλες λογιστικού φύλλου μέσω υποβολών φορμών. Αυτές εκτελούνται όταν ένας administrator ανοίγει ένα εξαγόμενο αρχείο CSV και μπορούν να οδηγήσουν σε κλοπή δεδομένων ή εκτέλεση εντολών στον υπολογιστή του administrator. Επηρεάζονται οι εκδόσεις πριν από την 3.2.2 (CVE-2026-124018, CVSS 7.1). Ενημέρωσε στην έκδοση 3.2.2 ή νεότερη και χειρίσου με προσοχή τα αρχεία CSV που έχεις εξαγάγει προηγουμένως.

Πώς να ελέγξεις τα sites σου

Στον πίνακα του WordPress, άνοιξε Plugins > Installed Plugins σε κάθε site και σύγκρινε τις εγκατεστημένες εκδόσεις με αυτές που αναφέρονται παραπάνω. Με WP-CLI, εκτέλεσε wp plugin list για να δεις όλα τα plugins με τις εκδόσεις τους και τις διαθέσιμες ενημερώσεις, και μετά ενημέρωσε με wp plugin update <plugin-slug>. Όπου υπάρχει plugin που είναι εγκατεστημένο αλλά δεν χρειάζεται, απενεργοποίησέ το και αφαίρεσέ το.

Πηγές

• https://nvd.nist.gov/vuln/detail/CVE-2026-100386
• https://nvd.nist.gov/vuln/detail/CVE-2026-115483