WordPress - CVE-2026-114432

Il s’agit d’une vulnérabilité dans le plugin Contact Form 7 pour WordPress.

Contact Form 7 est un plugin WordPress de création et de gestion de formulaires de contact. Il est installé sur plus de 10 000 000 de sites.

Elle permet à un attaquant non authentifié de téléverser un fichier arbitraire sur le serveur. Dans la version 6.2, la vérification des types de fichiers a été retirée de la fonction wpcf7_unship_uploaded_file(). Les fichiers sont enregistrés dans uploads/wpcf7_uploads/ avant toute validation. Les fichiers rejetés ne sont jamais supprimés. La liste de blocage restante ne couvre pas les extensions phar, pht, phps ni le fichier .htaccess. Une simple requête POST non authentifiée vers la route REST du formulaire suffit. Le nom du sous-répertoire aléatoire n’est pas divulgué, ce qui explique la complexité d’attaque élevée retenue par Patchstack. Sur une configuration Apache Debian/Ubuntu par défaut, le fichier déposé peut être exécuté. Cela suppose le listage de répertoire et l’extension .phar associée au gestionnaire PHP. Sur nginx, ou sur Apache avec surcharge par .htaccess, le fichier est seulement servi comme contenu actif (HTML, SVG) depuis l’origine du site. Dans le cas le plus grave, l’attaquant obtient une exécution de code arbitraire à distance sur le serveur.