WordPress bővítmények sebezhetőségei: 7 bővítmény, köztük a NextGEN Gallery

2026. november 10. és 13. között nyolc sebezhetőséget hhoztak nyilvánosságra hét WordPress bővítményben. A legsúlyosabbak, 8,8-as CVSS pontszámmal, a Widget Options és a SureDash bővítményt érintik. A lista legszélesebb körben használt bővítménye a NextGEN Gallery, 300 000 aktív telepítéssel. Egyik sebezhetőségről sem jelentették, hogy aktívan kihasználnák.

Widget Options – Advanced Conditional Visibility for Gutenberg Blocks & Classic Widgets (100 000 aktív telepítés)

Egy kódinjektálási hiba lehetővé teszi, hogy a legalább Szerző (Author) szintű hozzáféréssel rendelkező bejelentkezett felhasználók PHP kifejezéseket injektáljanak, amelyek minden előoldali oldalmegjelenítéskor lefutnak. Ez felfedheti az oldal konfigurációs adatait, és korlátlan kódfuttatássá eszkalálódhat, ha egy másik bővítmény bővíti az engedélyezett függvények listáját. A hibát közreműködők (Contributor) is kihasználhatják, ha egy adminisztrátor vagy szerkesztő később közzéteszi a beküldött tartalmukat. A 4.2.6.1-es verzióig bezárólag minden verzió érintett (CVE-2026-116615, CVSS 8.8). Frissítsen a legújabb verzióra, vagy ha nincs elérhető frissítés, tiltsa le és távolítsa el a bővítményt.

SureDash – Community, Courses & Member Dashboard (1 000 aktív telepítés)

Egy jogosultság-emelési hiba lehetővé teszi, hogy a legalább Portal Manager szerepkörű bejelentkezett felhasználók az új regisztrációk alapértelmezett szerepkörét adminisztrátorra módosítsák, majd teljes jogú adminisztrátori fiókot regisztráljanak. Az 1.13.0-s verzióig bezárólag minden verzió érintett (CVE-2026-123769, CVSS 8.8). Frissítsen a legújabb verzióra, és ellenőrizze a felhasználók listáját, valamint a bővítmény alapértelmezett szerepkör-beállítását váratlan módosítások szempontjából.

Everest Forms (90 000 aktív telepítés)

Két hiba érinti ezt a bővítményt. A CVE-2026-120513 (CVSS 8,2) lehetővé teszi, hogy hitelesítés nélküli látogatók fájlokat töröljenek a wp-content/uploads könyvtáron belül a 3.6.2-es verzióig bezárólag, feltéve, hogy a Save-and-Continue kiegészítő aktív, és a célzott űrlapon engedélyezve van a „Disable storing entry information” beállítás. A CVE-2026-115483 (CVSS 7,5) lehetővé teszi, hogy hitelesítés nélküli látogatók tetszőleges fájlokat, például a wp-config.php fájlt olvassák a 3.6.3-as verzióig bezárólag; ehhez az Everest Forms Pro kiegészítő, valamint egy olyan űrlap szükséges, amelyen engedélyezve van a fájlcsatolás, és tartalmaz aláírás típusú mezőt. Frissítsen a legújabb verzióra, amelynek újabbnak kell lennie a 3.6.3-nál.

Drag and Drop File Upload for Elementor Forms (1 000 aktív telepítés)

A remove_files függvényben található tetszőleges fájltörlési hiba lehetővé teszi, hogy hitelesítés nélküli látogatók fájlokat töröljenek a szerveren, ami távoli kódfuttatáshoz vezethet, ha például a wp-config.php fájlt törlik. A hiba akkor érhető el, ha az „yeepdf_not_save” adatvédelmi beállítás engedélyezve van. Az 1.6.2-es verzióig bezárólag minden verzió érintett (CVE-2026-124218, CVSS 8,2). Frissítsen a legújabb verzióra.

Photo Gallery, Sliders, Proofing and Themes – NextGEN Gallery (300 000 aktív telepítés)

A handle_job függvényben található tetszőleges fájltörlési hiba lehetővé teszi, hogy a „NextGEN Manage gallery” jogosultsággal rendelkező bejelentkezett felhasználók fájlokat töröljenek a szerveren, ami távoli kódfuttatáshoz vezethet, ha például a wp-config.php fájlt törlik. Ez a jogosultság alapértelmezés szerint az adminisztrátorokhoz tartozik, de a bővítmény Roles képernyőjén alacsonyabb szerepkörökre is átruházható. A 4.5.5-ös verzióig bezárólag minden verzió érintett (CVE-2026-118191, CVSS 8,1). Frissítsen a legújabb verzióra, és ellenőrizze, mely szerepkörök kapták meg ezt a jogosultságot.

Ultra Addons for Contact Form 7 (60 000 aktív telepítés)

Egy könyvtárbejárási hiba lehetővé teszi, hogy hitelesítés nélküli látogatók tetszőleges fájlokat olvassanak a szerveren, amelyek érzékeny információkat tartalmazhatnak. A kihasználáshoz a PDF Generator kiegészítő aktív állapota, valamint a célzott űrlaphoz engedélyezett PDF törzssablon szükséges. A 3.5.54-es verzióig bezárólag minden verzió érintett (CVE-2026-100386, CVSS 7,5). Frissítsen a legújabb verzióra, vagy ha nincs elérhető frissítés, tiltsa le és távolítsa el a bővítményt.

Gutenverse Form (10 000 aktív telepítés)

Egy CSV-képletinjektálási hiba lehetővé teszi, hogy hitelesítés nélküli látogatók az űrlapbeküldéseken keresztül táblázatkezelői képleteket tároljanak, amelyek akkor futnak le, amikor egy adminisztrátor megnyit egy exportált CSV fájlt, és adatkiszivárgáshoz vagy parancsvégrehajtáshoz vezethetnek az adminisztrátor munkaállomásán. A 3.2.2-nél korábbi verziók érintettek (CVE-2026-124018, CVSS 7,1). Frissítsen a 3.2.2-es vagy újabb verzióra, és a korábban exportált CSV fájlokat kezelje körültekintően.

Az oldalak ellenőrzése

A WordPress vezérlőpultján minden oldalon nyissa meg a Bővítmények > Telepített bővítmények menüpontot, és vesse össze a telepített verziókat a fent felsoroltakkal. A WP-CLI segítségével futtassa a wp plugin list parancsot, amely megjeleníti az összes bővítményt a verziószámukkal és az elérhető frissítésekkel, majd frissítsen a wp plugin update <plugin-slug> paranccsal. Ha egy bővítmény telepítve van, de nincs rá szükség, tiltsa le és távolítsa el.

Források

• https://nvd.nist.gov/vuln/detail/CVE-2026-100386
• https://nvd.nist.gov/vuln/detail/CVE-2026-115483