Contact Form 7 : faille de téléversement de fichiers corrigée en 6.2.4

En bref

• Produit : Contact Form 7, extension de formulaires de contact pour WordPress.
• Versions affectées : de la 6.2 à la 6.2.3 incluse.
• Version corrigée : 6.2.4.
• Sévérité : score CVSS non précisé par l'éditeur ; il s'agit d'un téléversement de fichiers arbitraires sans authentification.
• CVE : CVE-2026-114432.
• Exploitation active : inconnu.
• Date de l'avis : 5 novembre 2026.

Une vulnérabilité de téléversement de fichiers arbitraires a été publiée pour Contact Form 7, l'une des extensions de formulaires les plus répandues sur WordPress. Selon l'avis publié par WPScan, la faille peut être exploitée par un visiteur non authentifié. Elle est corrigée dans la version 6.2.4 de l'extension.

Qui est concerné ?

Sont concernés tous les sites WordPress sur lesquels Contact Form 7 est installé dans une version comprise entre la 6.2 et la 6.2.3. Les versions antérieures à la 6.2 ne figurent pas dans la plage indiquée par l'avis, et la version 6.2.4 contient le correctif.

D'après sa fiche sur le répertoire officiel WordPress.org, l'extension compte plus de 10 millions d'installations actives. Le nombre de sites encore exposés n'est pas connu, mais la diffusion de l'extension rend la mise à jour prioritaire pour les agences et les freelances qui maintiennent un parc de sites.

La nature de la faille explique son importance : un téléversement de fichiers arbitraires permet, dans le pire des cas, de déposer sur le serveur un fichier que l'application n'aurait jamais dû accepter. L'absence d'authentification signifie qu'aucun compte sur le site n'est nécessaire pour tenter l'opération. Le score CVSS et le détail de l'impact n'ont pas été précisés par l'éditeur à la date de rédaction, et aucune exploitation active n'est connue à ce jour.

Que faire ?

• Mettre à jour Contact Form 7 vers la version 6.2.4 depuis l'administration WordPress ou via votre outil de déploiement habituel, après avoir réalisé une sauvegarde.
• Vérifier sur chaque site que la version installée est bien la 6.2.4 ou une version ultérieure, en particulier là où les mises à jour automatiques des extensions sont désactivées.
• Contrôler les journaux du serveur web et le contenu du dossier de téléversements à la recherche de fichiers inattendus déposés récemment, notamment des fichiers exécutables ou aux noms inhabituels.
• En cas de doute sur une compromission, isoler le site, restaurer une sauvegarde saine antérieure à l'incident, puis appliquer la mise à jour avant la remise en ligne et changer les mots de passe des comptes d'administration.

Si la mise à jour ne peut pas être appliquée immédiatement, désactiver temporairement les formulaires qui acceptent l'envoi de pièces jointes réduit la surface d'exposition en attendant le correctif.

Sources

• Avis WPScan sur la vulnérabilité de Contact Form 7, publié le 5 novembre 2026.
• Fiche de l'extension Contact Form 7 sur WordPress.org.