Zraniteľnosti WordPress pluginov: 7 pluginov vrátane NextGEN Gallery

Osem zraniteľností v siedmich WordPress pluginoch bolo zverejnených medzi 10. a 13. novembrom 2026. Najzávažnejšie, so skóre CVSS 8,8, ovplyvňujú pluginy Widget Options a SureDash. Najrozšírenejším pluginom v tomto zozname je NextGEN Gallery s 300 000 aktívnymi inštaláciami. Pre žiadnu zo zraniteľností nie je hlásené aktívne zneužívanie.

Widget Options – Advanced Conditional Visibility for Gutenberg Blocks & Classic Widgets (100 000 aktívnych inštalácií)

Chyba vkladania kódu umožňuje prihláseným používateľom s oprávnením Author a vyšším vkladať výrazy PHP, ktoré sa vykonajú pri každom zobrazení stránky na webe. Môže to odhaliť konfiguračné údaje webu a pri inom pluginе, ktorý rozširuje zoznam povolených funkcií, môže viesť až k neobmedzenému spusteniu kódu. K zneužitiu môžu slúžiť aj prispievatelia, ak ich príspevok neskôr publikuje administrátor alebo editor. Ovplyvnené sú všetky verzie až vrátane 4.2.6.1 (CVE-2026-116615, CVSS 8,8). Aktualizujte na najnovšiu verziu, alebo ak aktualizácia nie je k dispozícii, plugin deaktivujte a odstráňte.

SureDash – Community, Courses & Member Dashboard (1 000 aktívnych inštalácií)

Chyba eskalácie oprávnení umožňuje prihláseným používateľom s rolou Portal Manager a vyššou zmeniť predvolenú rolu pre nové registrácie na administrátora a následne zaregistrovať úplný účet administrátora. Ovplyvnené sú všetky verzie až vrátane 1.13.0 (CVE-2026-123769, CVSS 8,8). Aktualizujte na najnovšiu verziu a skontrolujte zoznam používateľov a nastavenie predvolenej roly pluginu, či nedošlo k neočakávaným zmenám.

Everest Forms (90 000 aktívnych inštalácií)

Tento plugin ovplyvňujú dve chyby. CVE-2026-120513 (CVSS 8,2) umožňuje neprihláseným návštevníkom odstrániť súbory v adresári wp-content/uploads vo verziách až vrátane 3.6.2, ak je aktívny doplnok Save-and-Continue a cieľový formulár má zapnuté možnosť „Disable storing entry information“. CVE-2026-115483 (CVSS 7,5) umožňuje neprihláseným návštevníkom čítať ľubovoľné súbory, napríklad wp-config.php, vo verziách až vrátane 3.6.3; vyžaduje doplnok Everest Forms Pro a formulár so zapnutými prílohami súborov a poľom typu podpis. Aktualizujte na najnovšiu verziu, ktorá musí byť novšia ako 3.6.3.

Drag and Drop File Upload for Elementor Forms (1 000 aktívnych inštalácií)

Chyba ľubovoľného odstránenia súborov vo funkcii remove_files umožňuje neprihláseným návštevníkom odstrániť súbory na serveri, čo môže viesť k vzdialenému spusteniu kódu, ak je odstránený súbor ako wp-config.php. Chyba je dostupná, keď je zapnutá možnosť ochrany súkromia „yeepdf_not_save“. Ovplyvnené sú všetky verzie až vrátane 1.6.2 (CVE-2026-124218, CVSS 8,2). Aktualizujte na najnovšiu verziu.

Photo Gallery, Sliders, Proofing and Themes – NextGEN Gallery (300 000 aktívnych inštalácií)

Chyba ľubovoľného odstránenia súborov vo funkcii handle_job umožňuje prihláseným používateľom s oprávnením „NextGEN Manage gallery“ odstrániť súbory na serveri, čo môže viesť k vzdialenému spusteniu kódu, ak je odstránený súbor ako wp-config.php. Toto oprávnenie majú predvolene administrátori, no na obrazovke Roles pluginu ho možno delegovať nižším rolám. Ovplyvnené sú všetky verzie až vrátane 4.5.5 (CVE-2026-118191, CVSS 8,1). Aktualizujte na najnovšiu verziu a skontrolujte, ktoré roly toto oprávnenie dostali.

Ultra Addons for Contact Form 7 (60 000 aktívnych inštalácií)

Chyba prechodu adresárov umožňuje neprihláseným návštevníkom čítať ľubovoľné súbory na serveri, ktoré môžu obsahovať citlivé informácie. Zneužitie vyžaduje aktívny doplnok PDF Generator a zapnutú šablónu PDF tela pre cieľový formulár. Ovplyvnené sú všetky verzie až vrátane 3.5.54 (CVE-2026-100386, CVSS 7,5). Aktualizujte na najnovšiu verziu, alebo ak aktualizácia nie je k dispozícii, plugin deaktivujte a odstráňte.

Gutenverse Form (10 000 aktívnych inštalácií)

Chyba vkladania vzorcov do CSV umožňuje neprihláseným návštevníkom ukladať tabuľkové vzorce prostredníctvom odoslaní formulárov. Tieto vzorce sa vykonajú, keď administrátor otvorí exportovaný súbor CSV, a môžu viesť k úniku údajov alebo vykonaniu príkazov na pracovnej stanici administrátora. Ovplyvnené sú verzie pred 3.2.2 (CVE-2026-124018, CVSS 7,1). Aktualizujte na verziu 3.2.2 alebo novšiu a predtým exportované súbory CSV spracúvajte opatrne.

Ako skontrolovať vaše weby

V administrácii WordPressu otvorte na každom webe položku Plugins > Installed Plugins a porovnajte nainštalované verzie s tými uvedenými vyššie. Pomocou WP-CLI spustite wp plugin list, ktorý zobrazí všetky pluginy s ich verziami a dostupnými aktualizáciami, a potom aktualizujte príkazom wp plugin update <plugin-slug>. Ak je plugin nainštalovaný, no nepotrebujete ho, deaktivujte ho a odstráňte.

Zdroje

• https://nvd.nist.gov/vuln/detail/CVE-2026-100386
• https://nvd.nist.gov/vuln/detail/CVE-2026-115483