Ranjivosti WordPress dodataka: 7 dodataka uključujući NextGEN Gallery

Osam ranjivosti u sedam WordPress dodataka objavljeno je između 10. i 13. studenoga 2026. Najozbiljnije, s CVSS ocjenom 8,8, pogađaju dodatke Widget Options i SureDash. Najrasprostranjeniji dodatak s ovog popisa je NextGEN Gallery s 300.000 aktivnih instalacija. Za nijednu ranjivost se ne izvještava da se aktivno iskorištava.

Widget Options – Advanced Conditional Visibility for Gutenberg Blocks & Classic Widgets (100.000 aktivnih instalacija)

Greška ubacivanja koda omogućuje prijavljenim korisnicima s razinom Author i višom da ubace PHP izraze koji se izvršavaju pri svakom prikazu stranice na javnom dijelu, što može otkriti konfiguracijske podatke web-mjesta te može prerasti u neograničeno izvršavanje koda ako drugi dodatak proširi popis dopuštenih funkcija. Suradnici to također mogu iskoristiti ako administrator ili urednik kasnije objavi njihov prijedlog. Pogođene su sve verzije do uključujući 4.2.6.1 (CVE-2026-116615, CVSS 8,8). Ažurirajte na najnoviju verziju ili, ako ažuriranje nije dostupno, deaktivirajte i uklonite dodatak.

SureDash – Community, Courses & Member Dashboard (1.000 aktivnih instalacija)

Greška eskalacije privilegija omogućuje prijavljenim korisnicima s ulogom Portal Manager i višom da promijene zadanu ulogu za nove registracije u administratora, a zatim registriraju potpuni administratorski račun. Pogođene su sve verzije do uključujući 1.13.0 (CVE-2026-123769, CVSS 8,8). Ažurirajte na najnoviju verziju i provjerite popis korisnika te postavku zadane uloge dodatka radi neočekivanih promjena.

Everest Forms (90.000 aktivnih instalacija)

Na ovaj dodatak utječu dva propusta. CVE-2026-120513 (CVSS 8,2) omogućuje neprijavljenim posjetiteljima brisanje datoteka unutar wp-content/uploads u verzijama do uključujući 3.6.2, pod uvjetom da je dodatak Save-and-Continue aktivan i da je na ciljnom obrascu omogućena opcija 'Disable storing entry information'. CVE-2026-115483 (CVSS 7,5) omogućuje neprijavljenim posjetiteljima čitanje proizvoljnih datoteka, poput wp-config.php, u verzijama do uključujući 3.6.3; potrebni su dodatak Everest Forms Pro i obrazac s omogućenim privitcima datoteka te poljem vrste potpis. Ažurirajte na najnoviju verziju, koja mora biti novija od 3.6.3.

Drag and Drop File Upload for Elementor Forms (1.000 aktivnih instalacija)

Greška proizvoljnog brisanja datoteka u funkciji remove_files omogućuje neprijavljenim posjetiteljima brisanje datoteka na poslužitelju, što može dovesti do udaljenog izvršavanja koda ako se obriše datoteka poput wp-config.php. Do nje se dolazi kada je omogućena opcija privatnosti "yeepdf_not_save". Pogođene su sve verzije do uključujući 1.6.2 (CVE-2026-124218, CVSS 8,2). Ažurirajte na najnoviju verziju.

Photo Gallery, Sliders, Proofing and Themes – NextGEN Gallery (300.000 aktivnih instalacija)

Greška proizvoljnog brisanja datoteka u funkciji handle_job omogućuje prijavljenim korisnicima s ovlasti 'NextGEN Manage gallery' brisanje datoteka na poslužitelju, što može dovesti do udaljenog izvršavanja koda ako se obriše datoteka poput wp-config.php. Ta ovlast je prema zadanim postavkama dodijeljena administratorima, ali se može delegirati nižim ulogama na zaslonu Roles dodatka. Pogođene su sve verzije do uključujući 4.5.5 (CVE-2026-118191, CVSS 8,1). Ažurirajte na najnoviju verziju i provjerite koje su uloge dobile tu ovlast.

Ultra Addons for Contact Form 7 (60.000 aktivnih instalacija)

Greška prijelaza direktorija omogućuje neprijavljenim posjetiteljima čitanje proizvoljnih datoteka na poslužitelju, koje mogu sadržavati osjetljive podatke. Iskorištavanje zahtijeva da dodatak PDF Generator bude aktivan i da je za ciljani obrazac omogućen predložak PDF tijela. Pogođene su sve verzije do uključujući 3.5.54 (CVE-2026-100386, CVSS 7,5). Ažurirajte na najnoviju verziju ili, ako ažuriranje nije dostupno, deaktivirajte i uklonite dodatak.

Gutenverse Form (10.000 aktivnih instalacija)

Greška ubacivanja CSV formula omogućuje neprijavljenim posjetiteljima pohranu formula za proračunske tablice putem slanja obrazaca. One se izvršavaju kada administrator otvori izvezenu CSV datoteku i mogu dovesti do krađe podataka ili izvršavanja naredbi na administratorovu računalu. Pogođene su verzije prije 3.2.2 (CVE-2026-124018, CVSS 7,1). Ažurirajte na verziju 3.2.2 ili noviju te oprezno postupajte s ranije izvezenim CSV datotekama.

Kako provjeriti vaša web-mjesta

U WordPress nadzornoj ploči na svakom web-mjestu otvorite Plugins > Installed Plugins i usporedite instalirane verzije s onima navedenima iznad. Pomoću WP-CLI-ja pokrenite wp plugin list da biste vidjeli sve dodatke s njihovim verzijama i dostupnim ažuriranjima, zatim ažurirajte naredbom wp plugin update <plugin-slug>. Ako je dodatak instaliran, a nije potreban, deaktivirajte ga i uklonite.

Izvori

• https://nvd.nist.gov/vuln/detail/CVE-2026-100386
• https://nvd.nist.gov/vuln/detail/CVE-2026-115483