Kwetsbaarheden in WordPress-plugins: 7 plugins, waaronder NextGEN Gallery

Tussen 10 en 13 november 2026 zijn acht kwetsbaarheden in zeven WordPress-plugins gemeld. De ernstigste, met een CVSS-score van 8,8, betreffen Widget Options en SureDash. De meest gebruikte plugin in deze lijst is NextGEN Gallery met 300.000 actieve installaties. Voor geen van de kwetsbaarheden is gemeld dat ze actief worden misbruikt.

Widget Options – Advanced Conditional Visibility for Gutenberg Blocks & Classic Widgets (100.000 actieve installaties)

Een code-injectiefout stelt ingelogde gebruikers met auteursrechten en hoger in staat PHP-expressies in te voegen die bij elke paginaweergave aan de voorkant worden uitgevoerd. Hierdoor kunnen configuratiegegevens van de site zichtbaar worden, en kan de aanval escaleren tot onbeperkte codeuitvoering als een andere plugin de lijst met toegestane functies uitbreidt. Bijdragers kunnen dit ook misbruiken als een beheerder of redacteur hun inzending later publiceert. Alle versies t/m 4.2.6.1 zijn getroffen (CVE-2026-116615, CVSS 8,8). Werk bij naar de nieuwste versie, of deactiveer en verwijder de plugin als er geen update beschikbaar is.

SureDash – Community, Courses & Member Dashboard (1.000 actieve installaties)

Een fout in de bevoegdheidsverhoging stelt ingelogde gebruikers met de rol Portal Manager of hoger in staat de standaardrol voor nieuwe registraties in te stellen op beheerder, waarna zij een volledig beheerdersaccount kunnen aanmaken. Alle versies t/m 1.13.0 zijn getroffen (CVE-2026-123769, CVSS 8,8). Werk bij naar de nieuwste versie en controleer de gebruikerslijst en de instelling voor de standaardrol van de plugin op onverwachte wijzigingen.

Everest Forms (90.000 actieve installaties)

Deze plugin heeft twee fouten. CVE-2026-120513 (CVSS 8,2) stelt niet-ingelogde bezoekers in staat bestanden binnen wp-content/uploads te verwijderen in versies t/m 3.6.2, mits de add-on Save-and-Continue actief is en bij het doelformulier de optie 'Disable storing entry information' is ingeschakeld. CVE-2026-115483 (CVSS 7,5) stelt niet-ingelogde bezoekers in staat willekeurige bestanden, zoals wp-config.php, te lezen in versies t/m 3.6.3. Hiervoor is de add-on Everest Forms Pro nodig, een formulier met bijlagen ingeschakeld en een veld van het type handtekening. Werk bij naar de nieuwste versie, die nieuwer moet zijn dan 3.6.3.

Drag and Drop File Upload for Elementor Forms (1.000 actieve installaties)

Een fout waarmee willekeurige bestanden kunnen worden verwijderd, in de functie remove_files, stelt niet-ingelogde bezoekers in staat bestanden op de server te verwijderen. Dit kan leiden tot remote code execution als een bestand zoals wp-config.php wordt verwijderd. Dit is bereikbaar wanneer de privacyoptie "yeepdf_not_save" is ingeschakeld. Alle versies t/m 1.6.2 zijn getroffen (CVE-2026-124218, CVSS 8,2). Werk bij naar de nieuwste versie.

Photo Gallery, Sliders, Proofing and Themes – NextGEN Gallery (300.000 actieve installaties)

Een fout waarmee willekeurige bestanden kunnen worden verwijderd, in de functie handle_job, stelt ingelogde gebruikers met de bevoegdheid 'NextGEN Manage gallery' in staat bestanden op de server te verwijderen. Dit kan leiden tot remote code execution als een bestand zoals wp-config.php wordt verwijderd. Deze bevoegdheid behoort standaard toe aan beheerders, maar kan op het scherm Roles van de plugin aan lagere rollen worden toegekend. Alle versies t/m 4.5.5 zijn getroffen (CVE-2026-118191, CVSS 8,1). Werk bij naar de nieuwste versie en controleer welke rollen deze bevoegdheid hebben gekregen.

Ultra Addons for Contact Form 7 (60.000 actieve installaties)

Een path traversal-fout stelt niet-ingelogde bezoekers in staat willekeurige bestanden op de server te lezen, die gevoelige informatie kunnen bevatten. Misbruik vereist dat de add-on PDF Generator actief is en dat een PDF-sjabloon voor de hoofdtekst is ingeschakeld voor het betreffende formulier. Alle versies t/m 3.5.54 zijn getroffen (CVE-2026-100386, CVSS 7,5). Werk bij naar de nieuwste versie, of deactiveer en verwijder de plugin als er geen update beschikbaar is.

Gutenverse Form (10.000 actieve installaties)

Een CSV-formule-injectiefout stelt niet-ingelogde bezoekers in staat spreadsheetformules op te slaan via formulierinzendingen. Deze worden uitgevoerd wanneer een beheerder een geëxporteerd CSV-bestand opent, wat kan leiden tot datalekken of commando-uitvoering op de werkstation van de beheerder. Versies vóór 3.2.2 zijn getroffen (CVE-2026-124018, CVSS 7,1). Werk bij naar versie 3.2.2 of hoger en ga zorgvuldig om met eerder geëxporteerde CSV-bestanden.

Hoe u uw sites kunt controleren

Open in het WordPress-dashboard op elke site Plugins > Geïnstalleerde plugins en vergelijk de geïnstalleerde versies met de hierboven vermelde versies. Met WP-CLI voert u wp plugin list uit om alle plugins met hun versies en beschikbare updates te zien, en werkt u vervolgens bij met wp plugin update <plugin-slug>. Als een plugin geïnstalleerd maar niet nodig is, deactiveert en verwijdert u deze.

Bronnen

• https://nvd.nist.gov/vuln/detail/CVE-2026-100386
• https://nvd.nist.gov/vuln/detail/CVE-2026-115483