Vulnérabilités de plugins WordPress : 7 extensions dont NextGEN Gallery

Huit vulnérabilités dans sept plugins WordPress ont été divulguées entre le 10 et le 13 novembre 2026. Les plus graves, avec un score CVSS de 8,8, touchent Widget Options et SureDash. Le plugin le plus utilisé de cette liste est NextGEN Gallery, avec 300 000 installations actives. Aucune de ces vulnérabilités n'est signalée comme étant activement exploitée.

Widget Options – Advanced Conditional Visibility for Gutenberg Blocks & Classic Widgets (100 000 installations actives)

Une faille d'injection de code permet aux utilisateurs connectés disposant du niveau Auteur ou supérieur d'injecter des expressions PHP exécutées à chaque affichage des pages du site, ce qui peut exposer des données de configuration et conduire à une exécution de code sans restriction si un autre plugin étend la liste des fonctions autorisées. Les contributeurs peuvent également l'exploiter si un administrateur ou un éditeur publie ensuite leur soumission. Toutes les versions jusqu'à la 4.2.6.1 incluse sont concernées (CVE-2026-116615, CVSS 8.8). Mettez à jour vers la dernière version ou, si aucune mise à jour n'est disponible, désactivez et supprimez le plugin.

SureDash – Community, Courses & Member Dashboard (1 000 installations actives)

Une faille d'élévation de privilèges permet aux utilisateurs connectés disposant du rôle Portal Manager ou supérieur de modifier le rôle par défaut attribué aux nouvelles inscriptions en administrateur, puis de créer un compte administrateur complet. Toutes les versions jusqu'à la 1.13.0 incluse sont concernées (CVE-2026-123769, CVSS 8.8). Mettez à jour vers la dernière version et vérifiez la liste des utilisateurs ainsi que le paramètre de rôle par défaut du plugin afin de repérer d'éventuelles modifications inattendues.

Everest Forms (90 000 installations actives)

Deux failles touchent ce plugin. CVE-2026-120513 (CVSS 8.2) permet à des visiteurs non authentifiés de supprimer des fichiers situés dans wp-content/uploads, dans les versions jusqu'à la 3.6.2 incluse, à condition que l'extension Save-and-Continue soit active et que le formulaire ciblé ait l'option « Disable storing entry information » activée. CVE-2026-115483 (CVSS 7.5) permet à des visiteurs non authentifiés de lire des fichiers arbitraires, tels que wp-config.php, dans les versions jusqu'à la 3.6.3 incluse ; cette faille nécessite l'extension Everest Forms Pro ainsi qu'un formulaire avec pièces jointes activées et un champ de type signature. Mettez à jour vers la dernière version, qui doit être postérieure à la 3.6.3.

Drag and Drop File Upload for Elementor Forms (1 000 installations actives)

Une faille de suppression arbitraire de fichiers dans la fonction remove_files permet à des visiteurs non authentifiés de supprimer des fichiers du serveur, ce qui peut conduire à une exécution de code à distance si un fichier tel que wp-config.php est supprimé. Elle est accessible lorsque l'option de confidentialité « yeepdf_not_save » est activée. Toutes les versions jusqu'à la 1.6.2 incluse sont concernées (CVE-2026-124218, CVSS 8.2). Mettez à jour vers la dernière version.

Photo Gallery, Sliders, Proofing and Themes – NextGEN Gallery (300 000 installations actives)

Une faille de suppression arbitraire de fichiers dans la fonction handle_job permet à des utilisateurs connectés disposant de la capacité « NextGEN Manage gallery » de supprimer des fichiers du serveur, ce qui peut conduire à une exécution de code à distance si un fichier tel que wp-config.php est supprimé. Cette capacité est attribuée par défaut aux administrateurs, mais peut être déléguée à des rôles inférieurs depuis l'écran Roles du plugin. Toutes les versions jusqu'à la 4.5.5 incluse sont concernées (CVE-2026-118191, CVSS 8.1). Mettez à jour vers la dernière version et vérifiez quels rôles ont reçu cette capacité.

Ultra Addons for Contact Form 7 (60 000 installations actives)

Une faille de traversée de répertoires permet à des visiteurs non authentifiés de lire des fichiers arbitraires sur le serveur, susceptibles de contenir des informations sensibles. L'exploitation nécessite que l'extension PDF Generator soit active et qu'un modèle de corps PDF soit activé pour le formulaire ciblé. Toutes les versions jusqu'à la 3.5.54 incluse sont concernées (CVE-2026-100386, CVSS 7.5). Mettez à jour vers la dernière version ou, si aucune mise à jour n'est disponible, désactivez et supprimez le plugin.

Gutenverse Form (10 000 installations actives)

Une faille d'injection de formules CSV permet à des visiteurs non authentifiés d'enregistrer des formules de tableur via les soumissions de formulaire. Ces formules s'exécutent lorsqu'un administrateur ouvre un fichier CSV exporté et peuvent conduire à une exfiltration de données ou à une exécution de commandes sur le poste de travail de l'administrateur. Les versions antérieures à la 3.2.2 sont concernées (CVE-2026-124018, CVSS 7.1). Mettez à jour vers la version 3.2.2 ou ultérieure, et manipulez avec précaution les fichiers CSV exportés précédemment.

Comment vérifier vos sites

Dans le tableau de bord WordPress, ouvrez Extensions > Extensions installées sur chaque site et comparez les versions installées avec celles indiquées ci-dessus. Avec WP-CLI, exécutez wp plugin list pour afficher tous les plugins avec leurs versions et les mises à jour disponibles, puis mettez à jour avec wp plugin update <plugin-slug>. Si un plugin est installé sans être nécessaire, désactivez et supprimez-le.

Sources

• https://nvd.nist.gov/vuln/detail/CVE-2026-100386
• https://nvd.nist.gov/vuln/detail/CVE-2026-115483