Podatności w wtyczkach WordPress: 7 wtyczek, w tym NextGEN Gallery

Osiem podatności w siedmiu wtyczkach WordPress zostało ujawnionych między 10 a 13 listopada 2026 roku. Najpoważniejsze, o wyniku CVSS 8,8, dotyczą wtyczek Widget Options i SureDash. Najszerzej używaną wtyczką z tego zestawienia jest NextGEN Gallery, z 300 000 aktywnych instalacji. Żadna z podatności nie jest zgłaszana jako aktywnie wykorzystywana.

Widget Options – Advanced Conditional Visibility for Gutenberg Blocks & Classic Widgets (100 000 aktywnych instalacji)

Błąd wstrzykiwania kodu pozwala zalogowanym użytkownikom z uprawnieniami Autora i wyższymi wstrzykiwać wyrażenia PHP, które są wykonywane przy każdym wyświetleniu strony w części publicznej. Może to ujawnić dane konfiguracyjne serwisu, a jeśli inna wtyczka rozszerza listę dozwolonych funkcji, może prowadzić do nieograniczonego wykonania kodu. Współtwórcy mogą to również wykorzystać, jeśli administrator lub redaktor później opublikuje ich zgłoszenie. Dotknięte są wszystkie wersje do 4.2.6.1 włącznie (CVE-2026-116615, CVSS 8.8). Należy zaktualizować wtyczkę do najnowszej wersji, a jeśli aktualizacja nie jest dostępna, dezaktywować i usunąć wtyczkę.

SureDash – Community, Courses & Member Dashboard (1 000 aktywnych instalacji)

Błąd eskalacji uprawnień pozwala zalogowanym użytkownikom z rolą Portal Manager i wyższą zmienić domyślną rolę dla nowych rejestracji na administratora, a następnie zarejestrować pełnoprawne konto administratora. Dotknięte są wszystkie wersje do 1.13.0 włącznie (CVE-2026-123769, CVSS 8.8). Należy zaktualizować wtyczkę do najnowszej wersji oraz sprawdzić listę użytkowników i ustawienie domyślnej roli wtyczki pod kątem nieoczekiwanych zmian.

Everest Forms (90 000 aktywnych instalacji)

Dwie luki dotyczą tej wtyczki. CVE-2026-120513 (CVSS 8.2) pozwala niezalogowanym odwiedzającym usuwać pliki w katalogu wp-content/uploads w wersjach do 3.6.2 włącznie, pod warunkiem że dodatek Save-and-Continue jest aktywny, a w formularzu docelowym włączona jest opcja „Disable storing entry information”. CVE-2026-115483 (CVSS 7.5) pozwala niezalogowanym odwiedzającym odczytywać dowolne pliki, takie jak wp-config.php, w wersjach do 3.6.3 włącznie; wymaga to dodatku Everest Forms Pro oraz formularza z włączonymi załącznikami plików i polem typu podpis. Należy zaktualizować wtyczkę do najnowszej wersji, która musi być nowsza niż 3.6.3.

Drag and Drop File Upload for Elementor Forms (1 000 aktywnych instalacji)

Błąd dowolnego usuwania plików w funkcji remove_files pozwala niezalogowanym odwiedzającym usuwać pliki na serwerze, co może prowadzić do zdalnego wykonania kodu, jeśli zostanie usunięty plik taki jak wp-config.php. Luka jest osiągalna, gdy włączona jest opcja prywatności „yeepdf_not_save”. Dotknięte są wszystkie wersje do 1.6.2 włącznie (CVE-2026-124218, CVSS 8.2). Należy zaktualizować wtyczkę do najnowszej wersji.

Photo Gallery, Sliders, Proofing and Themes – NextGEN Gallery (300 000 aktywnych instalacji)

Błąd dowolnego usuwania plików w funkcji handle_job pozwala zalogowanym użytkownikom z uprawnieniem „NextGEN Manage gallery” usuwać pliki na serwerze, co może prowadzić do zdalnego wykonania kodu, jeśli zostanie usunięty plik taki jak wp-config.php. To uprawnienie domyślnie należy do administratorów, ale może zostać przekazane niższym rolom na ekranie Roles wtyczki. Dotknięte są wszystkie wersje do 4.5.5 włącznie (CVE-2026-118191, CVSS 8.1). Należy zaktualizować wtyczkę do najnowszej wersji oraz sprawdzić, które role otrzymały to uprawnienie.

Ultra Addons for Contact Form 7 (60 000 aktywnych instalacji)

Błąd przechodzenia katalogów pozwala niezalogowanym odwiedzającym odczytywać dowolne pliki na serwerze, które mogą zawierać poufne informacje. Wykorzystanie wymaga aktywnego dodatku PDF Generator oraz włączonego szablonu treści PDF dla docelowego formularza. Dotknięte są wszystkie wersje do 3.5.54 włącznie (CVE-2026-100386, CVSS 7.5). Należy zaktualizować wtyczkę do najnowszej wersji, a jeśli aktualizacja nie jest dostępna, dezaktywować i usunąć wtyczkę.

Gutenverse Form (10 000 aktywnych instalacji)

Błąd wstrzykiwania formuł CSV pozwala niezalogowanym odwiedzającym zapisywać formuły arkusza kalkulacyjnego poprzez przesyłanie formularzy. Formuły są wykonywane, gdy administrator otworzy wyeksportowany plik CSV, i mogą prowadzić do wycieku danych lub wykonania poleceń na stacji roboczej administratora. Dotknięte są wersje przed 3.2.2 (CVE-2026-124018, CVSS 7.1). Należy zaktualizować wtyczkę do wersji 3.2.2 lub nowszej oraz zachować ostrożność przy wcześniej wyeksportowanych plikach CSV.

Jak sprawdzić swoje serwisy

W panelu WordPress na każdym serwisie należy otworzyć Wtyczki > Zainstalowane wtyczki i porównać zainstalowane wersje z wymienionymi powyżej. Za pomocą WP-CLI warto uruchomić wp plugin list, aby zobaczyć wszystkie wtyczki wraz z wersjami i dostępnymi aktualizacjami, a następnie zaktualizować je poleceniem wp plugin update <plugin-slug>. Jeśli wtyczka jest zainstalowana, ale niepotrzebna, należy ją dezaktywować i usunąć.

Źródła

• https://nvd.nist.gov/vuln/detail/CVE-2026-100386
• https://nvd.nist.gov/vuln/detail/CVE-2026-115483