Vulnerabilități în plugin-uri WordPress: 7 plugin-uri, inclusiv NextGEN Gallery

Opt vulnerabilități în șapte plugin-uri WordPress au fost publicate între 10 și 13 noiembrie 2026. Cele mai grave, cu un scor CVSS de 8,8, afectează Widget Options și SureDash. Cel mai utilizat plugin din listă este NextGEN Gallery, cu 300.000 de instalări active. Niciuna dintre vulnerabilități nu este raportată ca fiind exploatată activ.

Widget Options – Advanced Conditional Visibility for Gutenberg Blocks & Classic Widgets (100.000 de instalări active)

O vulnerabilitate de injectare de cod permite utilizatorilor autentificați cu acces de nivel Author sau superior să injecteze expresii PHP care rulează la fiecare vizualizare a paginii publice, ceea ce poate expune date de configurare ale site-ului și poate duce la executarea de cod fără restricții dacă alt plugin extinde lista funcțiilor permise. Contributorii pot exploata și ea dacă un administrator sau un editor publică ulterior trimiterea lor. Sunt afectate toate versiunile până la 4.2.6.1 inclusiv (CVE-2026-116615, CVSS 8,8). Actualizează la ultima versiune sau dezactivează și elimină pluginul dacă nu este disponibilă nicio actualizare.

SureDash – Community, Courses & Member Dashboard (1.000 de instalări active)

O vulnerabilitate de escaladare a privilegiilor permite utilizatorilor autentificați cu rolul Portal Manager sau superior să schimbe rolul implicit pentru înregistrările noi în administrator și apoi să înregistreze un cont de administrator complet. Sunt afectate toate versiunile până la 1.13.0 inclusiv (CVE-2026-123769, CVSS 8,8). Actualizează la ultima versiune și verifică lista utilizatorilor și setarea rolului implicit al pluginului pentru modificări neașteptate.

Everest Forms (90.000 de instalări active)

Două vulnerabilități afectează acest plugin. CVE-2026-120513 (CVSS 8,2) permite vizitatorilor neautentificați să șteargă fișiere din wp-content/uploads în versiunile până la 3.6.2 inclusiv, cu condiția ca addonul Save-and-Continue să fie activ și ca formularul vizat să aibă activată opțiunea „Disable storing entry information”. CVE-2026-115483 (CVSS 7,5) permite vizitatorilor neautentificați să citească fișiere arbitrare, precum wp-config.php, în versiunile până la 3.6.3 inclusiv; necesită addonul Everest Forms Pro și un formular cu atașamente de fișiere activate și un câmp de tip semnătură. Actualizează la ultima versiune, care trebuie să fie mai nouă decât 3.6.3.

Drag and Drop File Upload for Elementor Forms (1.000 de instalări active)

O vulnerabilitate de ștergere arbitrară de fișiere din funcția remove_files permite vizitatorilor neautentificați să șteargă fișiere de pe server, ceea ce poate duce la executarea de cod de la distanță dacă este șters un fișier precum wp-config.php. Este accesibilă când opțiunea de confidențialitate „yeepdf_not_save” este activată. Sunt afectate toate versiunile până la 1.6.2 inclusiv (CVE-2026-124218, CVSS 8,2). Actualizează la ultima versiune.

Photo Gallery, Sliders, Proofing and Themes – NextGEN Gallery (300.000 de instalări active)

O vulnerabilitate de ștergere arbitrară de fișiere din funcția handle_job permite utilizatorilor autentificați cu capabilitatea „NextGEN Manage gallery” să șteargă fișiere de pe server, ceea ce poate duce la executarea de cod de la distanță dacă este șters un fișier precum wp-config.php. Această capabilitate aparține implicit administratorilor, dar poate fi delegată rolurilor inferioare din ecranul Roles al pluginului. Sunt afectate toate versiunile până la 4.5.5 inclusiv (CVE-2026-118191, CVSS 8,1). Actualizează la ultima versiune și verifică ce roluri au primit această capabilitate.

Ultra Addons for Contact Form 7 (60.000 de instalări active)

O vulnerabilitate de traversare a directoarelor permite vizitatorilor neautentificați să citească fișiere arbitrare de pe server, care pot conține informații sensibile. Exploatarea necesită ca addonul PDF Generator să fie activ și ca un șablon de corp PDF să fie activat pentru formularul vizat. Sunt afectate toate versiunile până la 3.5.54 inclusiv (CVE-2026-100386, CVSS 7,5). Actualizează la ultima versiune sau dezactivează și elimină pluginul dacă nu este disponibilă nicio actualizare.

Gutenverse Form (10.000 de instalări active)

O vulnerabilitate de injectare de formule CSV permite vizitatorilor neautentificați să stocheze formule de tabel prin trimiterea formularelor, care se execută când un administrator deschide un fișier CSV exportat și poate duce la exfiltrare de date sau la executarea de comenzi pe stația de lucru a administratorului. Sunt afectate versiunile anterioare lui 3.2.2 (CVE-2026-124018, CVSS 7,1). Actualizează la versiunea 3.2.2 sau mai nouă și tratează cu atenție fișierele CSV exportate anterior.

Cum verifici site-urile tale

În panoul WordPress, deschide Plugins > Installed Plugins pe fiecare site și compară versiunile instalate cu cele enumerate mai sus. Cu WP-CLI, rulează wp plugin list pentru a vedea toate pluginurile cu versiunile și actualizările disponibile, apoi actualizează cu wp plugin update <plugin-slug>. Dacă un plugin este instalat, dar nu este necesar, dezactivează-l și elimină-l.

Surse

• https://nvd.nist.gov/vuln/detail/CVE-2026-100386
• https://nvd.nist.gov/vuln/detail/CVE-2026-115483