Sårbarheter i WordPress-tillägg: 7 tillägg inklusive NextGEN Gallery

Åtta sårbarheter i sju WordPress-tillägg offentliggjordes mellan den 10 och den 13 november 2026. De allvarligaste, med en CVSS-poäng på 8,8, påverkar Widget Options och SureDash. Det mest använda tillägget på listan är NextGEN Gallery med 300 000 aktiva installationer. Ingen av sårbarheterna rapporteras vara aktivt utnyttjad.

Widget Options – Advanced Conditional Visibility for Gutenberg Blocks & Classic Widgets (100 000 aktiva installationer)

En kodinjektionsbrist gör det möjligt för inloggade användare med författarbehörighet och högre att injicera PHP-uttryck som körs vid varje sidvisning på webbplatsen. Detta kan exponera konfigurationsdata för webbplatsen och kan eskalera till obegränsad kodkörning om ett annat tillägg utökar listan över tillåtna funktioner. Bidragsgivare kan också utnyttja bristen om en administratör eller redaktör senare publicerar deras inlämning. Alla versioner till och med 4.2.6.1 påverkas (CVE-2026-116615, CVSS 8,8). Uppdatera till den senaste versionen, eller inaktivera och ta bort tillägget om ingen uppdatering finns tillgänglig.

SureDash – Community, Courses & Member Dashboard (1 000 aktiva installationer)

En brist i behörighetshanteringen gör att inloggade användare med rollen Portal Manager och högre kan ändra standardrollen för nya registreringar till administratör och därefter registrera ett fullständigt administratörskonto. Alla versioner till och med 1.13.0 påverkas (CVE-2026-123769, CVSS 8,8). Uppdatera till den senaste versionen och granska användarlistan samt tilläggets inställning för standardroll för oväntade ändringar.

Everest Forms (90 000 aktiva installationer)

Två brister påverkar detta tillägg. CVE-2026-120513 (CVSS 8,2) gör att obehöriga besökare kan radera filer i wp-content/uploads i versioner till och med 3.6.2, förutsatt att tillägget Save-and-Continue är aktivt och att formuläret har alternativet 'Disable storing entry information' aktiverat. CVE-2026-115483 (CVSS 7,5) gör att obehöriga besökare kan läsa godtyckliga filer, till exempel wp-config.php, i versioner till och med 3.6.3. Den kräver tillägget Everest Forms Pro och ett formulär med filbilagor aktiverade samt ett fält av typen signatur. Uppdatera till den senaste versionen, som måste vara nyare än 3.6.3.

Drag and Drop File Upload for Elementor Forms (1 000 aktiva installationer)

En brist med godtycklig filradering i funktionen remove_files gör att obehöriga besökare kan radera filer på servern, vilket kan leda till fjärrkodkörning om en fil som wp-config.php raderas. Den går att nå när alternativet för integritet "yeepdf_not_save" är aktiverat. Alla versioner till och med 1.6.2 påverkas (CVE-2026-124218, CVSS 8,2). Uppdatera till den senaste versionen.

Photo Gallery, Sliders, Proofing and Themes – NextGEN Gallery (300 000 aktiva installationer)

En brist med godtycklig filradering i funktionen handle_job gör att inloggade användare med behörigheten 'NextGEN Manage gallery' kan radera filer på servern, vilket kan leda till fjärrkodkörning om en fil som wp-config.php raderas. Denna behörighet tillhör som standard administratörer men kan delegeras till lägre roller på pluginets sida för roller. Alla versioner till och med 4.5.5 påverkas (CVE-2026-118191, CVSS 8,1). Uppdatera till den senaste versionen och kontrollera vilka roller som har fått denna behörighet.

Ultra Addons for Contact Form 7 (60 000 aktiva installationer)

En sökvägstraverseringsbrist gör att obehöriga besökare kan läsa godtyckliga filer på servern, vilka kan innehålla känslig information. Utnyttjande kräver att tillägget PDF Generator är aktivt och att en PDF-mallmall för brödtext är aktiverad för det berörda formuläret. Alla versioner till och med 3.5.54 påverkas (CVE-2026-100386, CVSS 7,5). Uppdatera till den senaste versionen, eller inaktivera och ta bort tillägget om ingen uppdatering finns tillgänglig.

Gutenverse Form (10 000 aktiva installationer)

En CSV-formelinjektionsbrist gör att obehöriga besökare kan lagra kalkylbladsformler via formulärinskickningar. Dessa körs när en administratör öppnar en exporterad CSV-fil och kan leda till dataexfiltrering eller kommandokörning på administratörens arbetsstation. Versioner före 3.2.2 påverkas (CVE-2026-124018, CVSS 7,1). Uppdatera till version 3.2.2 eller senare och hantera tidigare exporterade CSV-filer med försiktighet.

Så kontrollerar du dina webbplatser

Öppna Plugins > Installed Plugins i WordPress-instrumentpanelen på varje webbplats och jämför de installerade versionerna med de som listas ovan. Med WP-CLI kör du wp plugin list för att se alla tillägg med deras versioner och tillgängliga uppdateringar, och uppdaterar sedan med wp plugin update <plugin-slug>. Där ett tillägg är installerat men inte behövs, inaktivera och ta bort det.

Källor

• https://nvd.nist.gov/vuln/detail/CVE-2026-100386
• https://nvd.nist.gov/vuln/detail/CVE-2026-115483