WordPress-lisäosien haavoittuvuudet: 7 lisäosaa, mukaan lukien NextGEN Gallery

Seitsemässä WordPress-lisäosassa todettiin kahdeksan haavoittuvuutta 10.–13. marraskuuta 2026 välisenä aikana. Vakavimmat, joiden CVSS-pistemäärä on 8,8, vaikuttavat lisäosiin Widget Options ja SureDash. Listan laajimmin käytetty lisäosa on NextGEN Gallery, jolla on 300 000 aktiivista asennusta. Yhdestäkään haavoittuvuudesta ei ole raportoitu aktiivista hyödyntämistä.

Widget Options – Advanced Conditional Visibility for Gutenberg Blocks & Classic Widgets (100 000 aktiivista asennusta)

Koodin injektointivirhe sallii sisäänkirjautuneille käyttäjille, joilla on Author-tason tai sitä korkeampi käyttöoikeus, PHP-lausekkeiden lisäämisen. Lausekkeet suoritetaan jokaisella sivunäytöllä, ja ne voivat paljastaa sivuston asetustietoja. Jos toinen lisäosa laajentaa sallittujen funktioiden listaa, tilanne voi johtaa rajoittamattomaan koodin suoritukseen. Kirjoittajat voivat hyödyntää virhettä myös silloin, kun ylläpitäjä tai toimittaja julkaisee heidän lähetyksensä myöhemmin. Kaikki versiot, jotka ovat versioon 4.2.6.1 asti, ovat vaarassa (CVE-2026-116615, CVSS 8,8). Päivitä uusimpaan versioon. Jos päivitystä ei ole saatavilla, poista lisäosa käytöstä ja poista se.

SureDash – Community, Courses & Member Dashboard (1 000 aktiivista asennusta)

Oikeuksien korotusvirhe sallii sisäänkirjautuneille käyttäjille, joilla on Portal Manager -rooli tai sitä korkeampi rooli, muuttaa uusien rekisteröitymisten oletusroolin ylläpitäjäksi. Tämän jälkeen he voivat rekisteröidä täyden ylläpitäjätilin. Kaikki versiot, jotka ovat versioon 1.13.0 asti, ovat vaarassa (CVE-2026-123769, CVSS 8,8). Päivitä uusimpaan versioon ja tarkista käyttäjälista sekä lisäosan oletusroolin asetus odottamattomien muutosten varalta.

Everest Forms (90 000 aktiivista asennusta)

Tämä lisäosa on altis kahdelle virheelle. CVE-2026-120513 (CVSS 8,2) sallii kirjautumattomille kävijöille tiedostojen poistamisen kansiosta wp-content/uploads versioissa aina 3.6.2 asti. Edellytyksenä on, että Save-and-Continue-lisäosa on aktiivinen ja kohdelomakkeessa on käytössä asetus 'Disable storing entry information'. CVE-2026-115483 (CVSS 7,5) sallii kirjautumattomille kävijöille mielivaltaisten tiedostojen, kuten wp-config.php:n, lukemisen versioissa aina 3.6.3 asti. Edellytyksenä on Everest Forms Pro -lisäosa sekä lomake, jossa tiedostoliitteet ovat sallittuja ja on allekirjoituskenttä. Päivitä uusimpaan versioon, jonka on oltava uudempi kuin 3.6.3.

Drag and Drop File Upload for Elementor Forms (1 000 aktiivista asennusta)

Funktiossa remove_files oleva mielivaltaisten tiedostojen poistovirhe sallii kirjautumattomille kävijöille palvelimen tiedostojen poistamisen. Jos poistetaan esimerkiksi wp-config.php, se voi johtaa etäkoodin suorittamiseen. Virhe on hyödynnettävissä, kun yksityisyysasetus "yeepdf_not_save" on käytössä. Kaikki versiot, jotka ovat versioon 1.6.2 asti, ovat vaarassa (CVE-2026-124218, CVSS 8,2). Päivitä uusimpaan versioon.

Photo Gallery, Sliders, Proofing and Themes – NextGEN Gallery (300 000 aktiivista asennusta)

Funktiossa handle_job oleva mielivaltaisten tiedostojen poistovirhe sallii sisäänkirjautuneille käyttäjille, joilla on oikeus 'NextGEN Manage gallery', poistaa tiedostoja palvelimelta. Jos poistetaan esimerkiksi wp-config.php, se voi johtaa etäkoodin suorittamiseen. Tämä oikeus kuuluu oletuksena ylläpitäjille, mutta sen voi antaa alemmille rooleille lisäosan Roles-näkymässä. Kaikki versiot, jotka ovat versioon 4.5.5 asti, ovat vaarassa (CVE-2026-118191, CVSS 8,1). Päivitä uusimpaan versioon ja tarkista, mille rooleille tämä oikeus on myönnetty.

Ultra Addons for Contact Form 7 (60 000 aktiivista asennusta)

Hakemistopolun läpikulkuvirhe sallii kirjautumattomille kävijöille mielivaltaisten tiedostojen lukemisen palvelimelta. Tiedostot voivat sisältää arkaluonteisia tietoja. Hyödyntäminen edellyttää, että PDF Generator -lisäosa on aktiivinen ja että kohdelomakkeelle on otettu käyttöön PDF-runkomalli. Kaikki versiot, jotka ovat versioon 3.5.54 asti, ovat vaarassa (CVE-2026-100386, CVSS 7,5). Päivitä uusimpaan versioon. Jos päivitystä ei ole saatavilla, poista lisäosa käytöstä ja poista se.

Gutenverse Form (10 000 aktiivista asennusta)

CSV-kaavainjektiovirhe sallii kirjautumattomille kävijöille taulukkolaskentakaavojen tallentamisen lomakelähetysten kautta. Kaavat suoritetaan, kun ylläpitäjä avaa viedyn CSV-tiedoston, ja ne voivat johtaa tietojen siirtoon ulos tai komennon suorittamiseen ylläpitäjän työasemalla. Versiot ennen 3.2.2:ta ovat vaarassa (CVE-2026-124018, CVSS 7,1). Päivitä versioon 3.2.2 tai uudempaan ja käsittele aiemmin viettyjä CSV-tiedostoja varoen.

Näin tarkistat sivustosi

Avaa WordPress-hallintanäkymässä jokaisella sivustolla Lisäosat > Asennetut lisäosat ja vertaa asennettuja versioita yllä lueteltuihin. WP-CLI:llä komento wp plugin list näyttää kaikki lisäosat versioineen ja saatavilla olevine päivityksineen. Päivitä sen jälkeen komennolla wp plugin update <plugin-slug>. Jos lisäosa on asennettu mutta sitä ei tarvita, poista se käytöstä ja poista.

Lähteet

• https://nvd.nist.gov/vuln/detail/CVE-2026-100386
• https://nvd.nist.gov/vuln/detail/CVE-2026-115483