Vulnerabilidades em plugins do WordPress: 7 plugins, incluindo NextGEN Gallery

Oito vulnerabilidades em sete plugins do WordPress foram divulgadas entre 10 e 13 de novembro de 2026. As mais graves, com pontuação CVSS de 8,8, afetam Widget Options e SureDash. O plugin mais utilizado desta lista é o NextGEN Gallery, com 300.000 instalações ativas. Nenhuma das vulnerabilidades é relatada como explorada ativamente.

Widget Options – Advanced Conditional Visibility for Gutenberg Blocks & Classic Widgets (100.000 instalações ativas)

Uma falha de injeção de código permite que usuários autenticados com nível de acesso Author ou superior injetem expressões PHP que são executadas em cada visualização de página do front-end, o que pode expor dados de configuração do site e evoluir para execução de código irrestrita se outro plugin ampliar a lista de funções permitidas. Colaboradores também podem explorá-la se um administrador ou editor publicar posteriormente o envio deles. Todas as versões até a 4.2.6.1, inclusive, são afetadas (CVE-2026-116615, CVSS 8,8). Atualize para a versão mais recente ou desative e remova o plugin caso não haja atualização disponível.

SureDash – Community, Courses & Member Dashboard (1.000 instalações ativas)

Uma falha de escalonamento de privilégios permite que usuários autenticados com a função Portal Manager ou superior alterem a função padrão para novos cadastros para administrador e, em seguida, registrem uma conta de administrador completa. Todas as versões até a 1.13.0, inclusive, são afetadas (CVE-2026-123769, CVSS 8,8). Atualize para a versão mais recente e revise a lista de usuários e a configuração de função padrão do plugin para identificar alterações inesperadas.

Everest Forms (90.000 instalações ativas)

Duas falhas afetam este plugin. A CVE-2026-120513 (CVSS 8,2) permite que visitantes não autenticados excluam arquivos dentro de wp-content/uploads nas versões até a 3.6.2, inclusive, desde que o addon Save-and-Continue esteja ativo e o formulário de destino tenha a opção 'Disable storing entry information' habilitada. A CVE-2026-115483 (CVSS 7,5) permite que visitantes não autenticados leiam arquivos arbitrários, como wp-config.php, nas versões até a 3.6.3, inclusive; ela exige o add-on Everest Forms Pro e um formulário com anexos de arquivos habilitados e um campo do tipo assinatura. Atualize para a versão mais recente, que deve ser superior à 3.6.3.

Drag and Drop File Upload for Elementor Forms (1.000 instalações ativas)

Uma falha de exclusão arbitrária de arquivos na função remove_files permite que visitantes não autenticados excluam arquivos do servidor, o que pode levar à execução remota de código caso um arquivo como wp-config.php seja excluído. Ela é acessível quando a opção de privacidade "yeepdf_not_save" está habilitada. Todas as versões até a 1.6.2, inclusive, são afetadas (CVE-2026-124218, CVSS 8,2). Atualize para a versão mais recente.

Photo Gallery, Sliders, Proofing and Themes – NextGEN Gallery (300.000 instalações ativas)

Uma falha de exclusão arbitrária de arquivos na função handle_job permite que usuários autenticados com a permissão 'NextGEN Manage gallery' excluam arquivos do servidor, o que pode levar à execução remota de código caso um arquivo como wp-config.php seja excluído. Essa permissão pertence aos administradores por padrão, mas pode ser delegada a funções inferiores na tela de Funções do plugin. Todas as versões até a 4.5.5, inclusive, são afetadas (CVE-2026-118191, CVSS 8,1). Atualize para a versão mais recente e verifique quais funções receberam essa permissão.

Ultra Addons for Contact Form 7 (60.000 instalações ativas)

Uma falha de travessia de diretório permite que visitantes não autenticados leiam arquivos arbitrários do servidor, que podem conter informações sensíveis. A exploração exige que o addon PDF Generator esteja ativo e que um modelo de corpo em PDF esteja habilitado para o formulário visado. Todas as versões até a 3.5.54, inclusive, são afetadas (CVE-2026-100386, CVSS 7,5). Atualize para a versão mais recente ou desative e remova o plugin caso não haja atualização disponível.

Gutenverse Form (10.000 instalações ativas)

Uma falha de injeção de fórmulas CSV permite que visitantes não autenticados armazenem fórmulas de planilha por meio de envios de formulário, as quais são executadas quando um administrador abre um arquivo CSV exportado, podendo levar à exfiltração de dados ou à execução de comandos na estação de trabalho do administrador. As versões anteriores à 3.2.2 são afetadas (CVE-2026-124018, CVSS 7,1). Atualize para a versão 3.2.2 ou superior e trate com cuidado os arquivos CSV exportados anteriormente.

Como verificar seus sites

No painel do WordPress, abra Plugins > Plugins instalados em cada site e compare as versões instaladas com as listadas acima. Com o WP-CLI, execute wp plugin list para ver todos os plugins com suas versões e atualizações disponíveis e, em seguida, atualize com wp plugin update <plugin-slug>. Quando um plugin estiver instalado, mas não for necessário, desative e remova-o.

Fontes

• https://nvd.nist.gov/vuln/detail/CVE-2026-100386
• https://nvd.nist.gov/vuln/detail/CVE-2026-115483