Vulnerabilità di plugin WordPress: 7 plugin tra cui NextGEN Gallery

Otto vulnerabilità in sette plugin WordPress sono state divulgate tra il 10 e il 13 novembre 2026. Le più gravi, con un punteggio CVSS di 8,8, interessano Widget Options e SureDash. Il plugin più diffuso in questo elenco è NextGEN Gallery, con 300.000 installazioni attive. Non risulta che nessuna delle vulnerabilità sia stata sfruttata attivamente.

Widget Options – Advanced Conditional Visibility for Gutenberg Blocks & Classic Widgets (100.000 installazioni attive)

Una falla di code injection consente a utenti autenticati con accesso di livello Author o superiore di inserire espressioni PHP che vengono eseguite a ogni visualizzazione di una pagina del front-end. Ciò può esporre dati di configurazione del sito e può portare a esecuzione di codice senza restrizioni se un altro plugin estende l'elenco delle funzioni consentite. Anche i collaboratori possono sfruttarla se un amministratore o un editor pubblica successivamente il loro contributo. Sono interessate tutte le versioni fino alla 4.2.6.1 inclusa (CVE-2026-116615, CVSS 8,8). La invitiamo ad aggiornare all'ultima versione oppure, se non è disponibile alcun aggiornamento, a disattivare e rimuovere il plugin.

SureDash – Community, Courses & Member Dashboard (1.000 installazioni attive)

Una falla di escalation dei privilegi consente a utenti autenticati con il ruolo Portal Manager o superiore di modificare il ruolo predefinito per le nuove registrazioni in amministratore e quindi di registrare un account amministratore completo. Sono interessate tutte le versioni fino alla 1.13.0 inclusa (CVE-2026-123769, CVSS 8,8). La invitiamo ad aggiornare all'ultima versione e a verificare l'elenco degli utenti e l'impostazione del ruolo predefinito del plugin, alla ricerca di modifiche non previste.

Everest Forms (90.000 installazioni attive)

Sono presenti due falle in questo plugin. CVE-2026-120513 (CVSS 8,2) consente a visitatori non autenticati di eliminare file all'interno di wp-content/uploads nelle versioni fino alla 3.6.2 inclusa, a condizione che il componente aggiuntivo Save-and-Continue sia attivo e che il modulo di destinazione abbia l'opzione 'Disable storing entry information' abilitata. CVE-2026-115483 (CVSS 7,5) consente a visitatori non autenticati di leggere file arbitrari, come wp-config.php, nelle versioni fino alla 3.6.3 inclusa; richiede il componente aggiuntivo Everest Forms Pro e un modulo con allegati di file abilitati e un campo di tipo firma. La invitiamo ad aggiornare all'ultima versione, che deve essere successiva alla 3.6.3.

Drag and Drop File Upload for Elementor Forms (1.000 installazioni attive)

Una falla di eliminazione arbitraria di file nella funzione remove_files consente a visitatori non autenticati di eliminare file sul server, con possibile esecuzione di codice remoto se viene eliminato un file come wp-config.php. È raggiungibile quando l'opzione di privacy "yeepdf_not_save" è abilitata. Sono interessate tutte le versioni fino alla 1.6.2 inclusa (CVE-2026-124218, CVSS 8,2). La invitiamo ad aggiornare all'ultima versione.

Photo Gallery, Sliders, Proofing and Themes – NextGEN Gallery (300.000 installazioni attive)

Una falla di eliminazione arbitraria di file nella funzione handle_job consente a utenti autenticati con la capacità 'NextGEN Manage gallery' di eliminare file sul server, con possibile esecuzione di codice remoto se viene eliminato un file come wp-config.php. Questa capacità appartiene per impostazione predefinita agli amministratori, ma può essere delegata a ruoli inferiori nella schermata Roles del plugin. Sono interessate tutte le versioni fino alla 4.5.5 inclusa (CVE-2026-118191, CVSS 8,1). La invitiamo ad aggiornare all'ultima versione e a verificare quali ruoli hanno ricevuto questa capacità.

Ultra Addons for Contact Form 7 (60.000 installazioni attive)

Una falla di directory traversal consente a visitatori non autenticati di leggere file arbitrari sul server, che possono contenere informazioni sensibili. Lo sfruttamento richiede che il componente aggiuntivo PDF Generator sia attivo e che un modello del corpo PDF sia abilitato per il modulo interessato. Sono interessate tutte le versioni fino alla 3.5.54 inclusa (CVE-2026-100386, CVSS 7,5). La invitiamo ad aggiornare all'ultima versione oppure, se non è disponibile alcun aggiornamento, a disattivare e rimuovere il plugin.

Gutenverse Form (10.000 installazioni attive)

Una falla di CSV formula injection consente a visitatori non autenticati di memorizzare formule per fogli di calcolo tramite l'invio di moduli. Tali formule vengono eseguite quando un amministratore apre un file CSV esportato e possono portare all'esfiltrazione di dati o all'esecuzione di comandi sulla postazione di lavoro dell'amministratore. Sono interessate le versioni precedenti alla 3.2.2 (CVE-2026-124018, CVSS 7,1). La invitiamo ad aggiornare alla versione 3.2.2 o successiva e a trattare con cautela i file CSV esportati in precedenza.

Come verificare i Suoi siti

Nella dashboard di WordPress, apra Plugin > Plugin installati su ciascun sito e confronti le versioni installate con quelle elencate sopra. Con WP-CLI, esegua wp plugin list per visualizzare tutti i plugin con le relative versioni e gli aggiornamenti disponibili, quindi aggiorni con wp plugin update <plugin-slug>. Se un plugin è installato ma non necessario, lo disattivi e lo rimuova.

Fonti

• https://nvd.nist.gov/vuln/detail/CVE-2026-100386
• https://nvd.nist.gov/vuln/detail/CVE-2026-115483