Sårbarheter i WordPress-plugins: 7 plugins, inkludert NextGEN Gallery

Åtte sårbarheter i sju WordPress-plugins ble offentliggjort mellom 10. og 13. november 2026. De alvorligste, med en CVSS-score på 8,8, berører Widget Options og SureDash. Det mest utbredte pluginet på denne listen er NextGEN Gallery med 300 000 aktive installasjoner. Ingen av sårbarhetene er rapportert som aktivt utnyttet.

Widget Options – Advanced Conditional Visibility for Gutenberg Blocks & Classic Widgets (100 000 aktive installasjoner)

En feil med kodeinjisering gjør at innloggede brukere med Author-tilgang og høyere kan injisere PHP-uttrykk som kjøres på hver visning av forsiden, noe som kan avsløre konfigurasjonsdata for nettstedet og kan eskalere til ubegrenset kodekjøring dersom et annet plugin utvider listen over tillatte funksjoner. Bidragsytere kan også utnytte feilen dersom en administrator eller redaktør senere publiserer innsendingen deres. Alle versjoner opp til og med 4.2.6.1 er berørt (CVE-2026-116615, CVSS 8,8). Oppdater til den nyeste versjonen, eller deaktiver og fjern pluginet dersom det ikke finnes noen oppdatering.

SureDash – Community, Courses & Member Dashboard (1 000 aktive installasjoner)

En feil med privilegieeskalering gjør at innloggede brukere med rollen Portal Manager og høyere kan endre standardrollen for nye registreringer til administrator, og deretter registrere en fullverdig administratorkonto. Alle versjoner opp til og med 1.13.0 er berørt (CVE-2026-123769, CVSS 8,8). Oppdater til den nyeste versjonen, og gå gjennom brukerlisten og innstillingen for standardrolle i pluginet for uventede endringer.

Everest Forms (90 000 aktive installasjoner)

To feil rammer dette pluginet. CVE-2026-120513 (CVSS 8,2) gjør at besøkende uten innlogging kan slette filer i wp-content/uploads i versjoner opp til og med 3.6.2, forutsatt at tillegget Save-and-Continue er aktivt og at skjemaet det gjelder har «Disable storing entry information» aktivert. CVE-2026-115483 (CVSS 7,5) gjør at besøkende uten innlogging kan lese vilkårlige filer, for eksempel wp-config.php, i versjoner opp til og med 3.6.3. Den krever tillegget Everest Forms Pro og et skjema med filvedlegg aktivert og et felt av signaturtype. Oppdater til den nyeste versjonen, som må være nyere enn 3.6.3.

Drag and Drop File Upload for Elementor Forms (1 000 aktive installasjoner)

En feil med sletting av vilkårlige filer i funksjonen remove_files gjør at besøkende uten innlogging kan slette filer på serveren, noe som kan føre til ekstern kodekjøring dersom en fil som wp-config.php slettes. Feilen kan utnyttes når valget for personvern «yeepdf_not_save» er aktivert. Alle versjoner opp til og med 1.6.2 er berørt (CVE-2026-124218, CVSS 8,2). Oppdater til den nyeste versjonen.

Photo Gallery, Sliders, Proofing and Themes – NextGEN Gallery (300 000 aktive installasjoner)

En feil med sletting av vilkårlige filer i funksjonen handle_job gjør at innloggede brukere med tillatelsen «NextGEN Manage gallery» kan slette filer på serveren, noe som kan føre til ekstern kodekjøring dersom en fil som wp-config.php slettes. Denne tillatelsen tilhører administratorer som standard, men kan delegeres til lavere roller på pluginets side for roller. Alle versjoner opp til og med 4.5.5 er berørt (CVE-2026-118191, CVSS 8,1). Oppdater til den nyeste versjonen, og kontroller hvilke roller som har fått denne tillatelsen.

Ultra Addons for Contact Form 7 (60 000 aktive installasjoner)

En feil med katalogtraversering gjør at besøkende uten innlogging kan lese vilkårlige filer på serveren, som kan inneholde sensitiv informasjon. Utnyttelse krever at tillegget PDF Generator er aktivt, og at en PDF-malmal er aktivert for det aktuelle skjemaet. Alle versjoner opp til og med 3.5.54 er berørt (CVE-2026-100386, CVSS 7,5). Oppdater til den nyeste versjonen, eller deaktiver og fjern pluginet dersom det ikke finnes noen oppdatering.

Gutenverse Form (10 000 aktive installasjoner)

En feil med injisering av CSV-formler gjør at besøkende uten innlogging kan lagre regneark-formler gjennom skjemainnsendinger. Disse kjøres når en administrator åpner en eksportert CSV-fil, og kan føre til datatyveri eller kjøring av kommandoer på administratorens arbeidsstasjon. Versjoner før 3.2.2 er berørt (CVE-2026-124018, CVSS 7,1). Oppdater til versjon 3.2.2 eller nyere, og behandle tidligere eksporterte CSV-filer med forsiktighet.

Slik sjekker du nettstedene dine

Åpne Plugins > Installed Plugins i WordPress-dashbordet på hvert nettsted, og sammenlign de installerte versjonene med dem som er oppført ovenfor. Med WP-CLI kjører du wp plugin list for å se alle plugins med versjoner og tilgjengelige oppdateringer, og oppdaterer deretter med wp plugin update <plugin-slug>. Der et plugin er installert uten å være nødvendig, deaktiverer og fjerner du det.

Kilder

• https://nvd.nist.gov/vuln/detail/CVE-2026-100386
• https://nvd.nist.gov/vuln/detail/CVE-2026-115483