Ranljivosti vtičnikov za WordPress: 7 vtičnikov, vključno z NextGEN Gallery

Osem ranljivosti v sedmih vtičnikih za WordPress je bilo javno razkritih med 10. in 13. novembrom 2026. Najresnejši, z oceno CVSS 8,8, prizadenejo vtičnika Widget Options in SureDash. Najbolj razširjen vtičnik s seznama je NextGEN Gallery s 300.000 aktivnimi namestitvami. Za nobeno od ranljivosti ni poročil o aktivnem izkoriščanju.

Widget Options – Advanced Conditional Visibility for Gutenberg Blocks & Classic Widgets (100.000 aktivnih namestitev)

Napaka vbrizgavanja kode omogoča prijavljenim uporabnikom z dostopom na ravni Author in višje, da vbrizgajo izraze PHP, ki se izvedejo ob vsakem ogledu strani na sprednjem delu spletnega mesta. Tako lahko razkrijejo podatke o konfiguraciji spletnega mesta, in če drug vtičnik razširi seznam dovoljenih funkcij, lahko napad preraste v neomejeno izvajanje kode. Sodelavci jo lahko izkoristijo tudi, če jo administrator ali urednik kasneje objavi. Prizadete so vse različice do vključno 4.2.6.1 (CVE-2026-116615, CVSS 8,8). Posodobite na najnovejšo različico ali, če posodobitev ni na voljo, vtičnik deaktivirajte in odstranite.

SureDash – Community, Courses & Member Dashboard (1.000 aktivnih namestitev)

Napaka dviga privilegijev omogoča prijavljenim uporabnikom z vlogo Portal Manager in višjo, da spremenijo privzeto vlogo za nove registracije v administratorja in nato registrirajo polnopravni račun administratorja. Prizadete so vse različice do vključno 1.13.0 (CVE-2026-123769, CVSS 8,8). Posodobite na najnovejšo različico in preglejte seznam uporabnikov ter nastavitev privzete vloge vtičnika glede nepričakovanih sprememb.

Everest Forms (90.000 aktivnih namestitev)

Na tem vtičniku sta dve napaki. CVE-2026-120513 (CVSS 8,2) omogoča neprijavljenim obiskovalcem brisanje datotek znotraj wp-content/uploads v različicah do vključno 3.6.2, če je dodatek Save-and-Continue aktiven in je pri ciljnem obrazcu omogočena možnost 'Disable storing entry information'. CVE-2026-115483 (CVSS 7,5) omogoča neprijavljenim obiskovalcem branje poljubnih datotek, kot je wp-config.php, v različicah do vključno 3.6.3; zahteva dodatek Everest Forms Pro ter obrazec s priloženimi datotekami in poljem tipa podpis. Posodobite na najnovejšo različico, ki mora biti novejša od 3.6.3.

Drag and Drop File Upload for Elementor Forms (1.000 aktivnih namestitev)

Napaka brisanja poljubnih datotek v funkciji remove_files omogoča neprijavljenim obiskovalcem brisanje datotek na strežniku, kar lahko vodi v oddaljeno izvajanje kode, če se izbriše datoteka, kot je wp-config.php. Do napake je mogoče priti, kadar je omogočena zasebnostna možnost "yeepdf_not_save". Prizadete so vse različice do vključno 1.6.2 (CVE-2026-124218, CVSS 8,2). Posodobite na najnovejšo različico.

Photo Gallery, Sliders, Proofing and Themes – NextGEN Gallery (300.000 aktivnih namestitev)

Napaka brisanja poljubnih datotek v funkciji handle_job omogoča prijavljenim uporabnikom z zmožnostjo 'NextGEN Manage gallery' brisanje datotek na strežniku, kar lahko vodi v oddaljeno izvajanje kode, če se izbriše datoteka, kot je wp-config.php. Ta zmožnost je privzeto na voljo administratorjem, lahko pa se prenese na nižje vloge na zaslonu Roles vtičnika. Prizadete so vse različice do vključno 4.5.5 (CVE-2026-118191, CVSS 8,1). Posodobite na najnovejšo različico in preverite, katere vloge imajo to zmožnost.

Ultra Addons for Contact Form 7 (60.000 aktivnih namestitev)

Napaka prečenja imenika omogoča neprijavljenim obiskovalcem branje poljubnih datotek na strežniku, ki lahko vsebujejo občutljive podatke. Za izkoriščanje mora biti aktiven dodatek PDF Generator in omogočena predloga telesa PDF za ciljni obrazec. Prizadete so vse različice do vključno 3.5.54 (CVE-2026-100386, CVSS 7,5). Posodobite na najnovejšo različico ali, če posodobitev ni na voljo, vtičnik deaktivirajte in odstranite.

Gutenverse Form (10.000 aktivnih namestitev)

Napaka vbrizgavanja formul CSV omogoča neprijavljenim obiskovalcem shranjevanje preglednicnih formul prek oddaj obrazcev. Te se izvedejo, ko administrator odpre izvoženo datoteko CSV, in lahko vodijo do uhajanja podatkov ali izvajanja ukazov na administratorjevem delovnem namizju. Prizadete so različice pred 3.2.2 (CVE-2026-124018, CVSS 7,1). Posodobite na različico 3.2.2 ali novejšo in previdno ravnajte s prej izvoženimi datotekami CSV.

Kako preveriti vaša spletna mesta

V nadzorni plošči WordPress na vsakem spletnem mestu odprite Plugins > Installed Plugins in primerjajte nameščene različice z zgoraj navedenimi. Z orodjem WP-CLI zaženite wp plugin list, da si ogledate vse vtičnike z njihovimi različicami in razpoložljivimi posodobitvami, nato pa posodobite z ukazom wp plugin update <plugin-slug>. Če je vtičnik nameščen, vi pa ga ne potrebujete, ga deaktivirajte in odstranite.

Viri

• https://nvd.nist.gov/vuln/detail/CVE-2026-100386
• https://nvd.nist.gov/vuln/detail/CVE-2026-115483