Vulnerabilidades en plugins de WordPress: 7 plugins, entre ellos NextGEN Gallery

Se hicieron públicas ocho vulnerabilidades en siete plugins de WordPress entre el 10 y el 13 de noviembre de 2026. Las más graves, con una puntuación CVSS de 8,8, afectan a Widget Options y SureDash. El plugin más utilizado de esta lista es NextGEN Gallery, con 300.000 instalaciones activas. No se informa de que ninguna de las vulnerabilidades se esté explotando activamente.

Widget Options – Advanced Conditional Visibility for Gutenberg Blocks & Classic Widgets (100.000 instalaciones activas)

Un fallo de inyección de código permite a usuarios con sesión iniciada y con nivel de Autor o superior inyectar expresiones PHP que se ejecutan en cada visita a una página pública, lo que puede exponer datos de configuración del sitio y escalar a ejecución de código sin restricciones si otro plugin amplía la lista de funciones permitidas. Los colaboradores también pueden aprovecharlo si un administrador o editor publica posteriormente su envío. Están afectadas todas las versiones hasta la 4.2.6.1 inclusive (CVE-2026-116615, CVSS 8,8). Actualice a la última versión o, si no hay actualización disponible, desactive y elimine el plugin.

SureDash – Community, Courses & Member Dashboard (1.000 instalaciones activas)

Un fallo de escalada de privilegios permite a usuarios con sesión iniciada y con el rol de Portal Manager o superior cambiar el rol predeterminado para los nuevos registros a administrador y, después, registrar una cuenta de administrador completa. Están afectadas todas las versiones hasta la 1.13.0 inclusive (CVE-2026-123769, CVSS 8,8). Actualice a la última versión y revise la lista de usuarios y la configuración del rol predeterminado del plugin por si hay cambios inesperados.

Everest Forms (90.000 instalaciones activas)

Dos fallos afectan a este plugin. CVE-2026-120513 (CVSS 8,2) permite a visitantes no autenticados eliminar archivos dentro de wp-content/uploads en las versiones hasta la 3.6.2 inclusive, siempre que el complemento Save-and-Continue esté activo y el formulario de destino tenga habilitada la opción 'Disable storing entry information'. CVE-2026-115483 (CVSS 7,5) permite a visitantes no autenticados leer archivos arbitrarios, como wp-config.php, en las versiones hasta la 3.6.3 inclusive; requiere el complemento Everest Forms Pro y un formulario con adjuntos de archivos habilitados y un campo de tipo firma. Actualice a la última versión, que debe ser posterior a la 3.6.3.

Drag and Drop File Upload for Elementor Forms (1.000 instalaciones activas)

Un fallo de eliminación arbitraria de archivos en la función remove_files permite a visitantes no autenticados eliminar archivos del servidor, lo que puede llevar a la ejecución remota de código si se elimina un archivo como wp-config.php. Es accesible cuando la opción de privacidad "yeepdf_not_save" está habilitada. Están afectadas todas las versiones hasta la 1.6.2 inclusive (CVE-2026-124218, CVSS 8,2). Actualice a la última versión.

Photo Gallery, Sliders, Proofing and Themes – NextGEN Gallery (300.000 instalaciones activas)

Un fallo de eliminación arbitraria de archivos en la función handle_job permite a usuarios con sesión iniciada y con la capacidad 'NextGEN Manage gallery' eliminar archivos del servidor, lo que puede llevar a la ejecución remota de código si se elimina un archivo como wp-config.php. Esta capacidad pertenece por defecto a los administradores, pero puede delegarse a roles inferiores en la pantalla de Roles del plugin. Están afectadas todas las versiones hasta la 4.5.5 inclusive (CVE-2026-118191, CVSS 8,1). Actualice a la última versión y compruebe qué roles tienen concedida esta capacidad.

Ultra Addons for Contact Form 7 (60.000 instalaciones activas)

Un fallo de salto de directorio (directory traversal) permite a visitantes no autenticados leer archivos arbitrarios del servidor, que pueden contener información sensible. La explotación requiere que el complemento PDF Generator esté activo y que una plantilla de cuerpo PDF esté habilitada para el formulario afectado. Están afectadas todas las versiones hasta la 3.5.54 inclusive (CVE-2026-100386, CVSS 7,5). Actualice a la última versión o, si no hay actualización disponible, desactive y elimine el plugin.

Gutenverse Form (10.000 instalaciones activas)

Un fallo de inyección de fórmulas CSV permite a visitantes no autenticados almacenar fórmulas de hoja de cálculo mediante envíos de formularios, que se ejecutan cuando un administrador abre un archivo CSV exportado y pueden provocar la exfiltración de datos o la ejecución de comandos en el equipo del administrador. Están afectadas las versiones anteriores a la 3.2.2 (CVE-2026-124018, CVSS 7,1). Actualice a la versión 3.2.2 o posterior y manipule con cuidado los archivos CSV exportados anteriormente.

Cómo comprobar sus sitios

En el panel de WordPress, abra Plugins > Plugins instalados en cada sitio y compare las versiones instaladas con las indicadas arriba. Con WP-CLI, ejecute wp plugin list para ver todos los plugins con sus versiones y las actualizaciones disponibles, y después actualice con wp plugin update <plugin-slug>. Si un plugin está instalado pero no es necesario, desactívelo y elimínelo.

Fuentes

• https://nvd.nist.gov/vuln/detail/CVE-2026-100386
• https://nvd.nist.gov/vuln/detail/CVE-2026-115483