Contact Form 7 : fuite de données utilisateurs corrigée en 6.2.5

Une vulnérabilité de divulgation de données sensibles touche l'extension WordPress Contact Form 7 dans toutes ses versions antérieures à 6.2.5. Elle a été publiée par WPScan le 11 novembre 2026 sous l'identifiant CVE-2026-120407. La version 6.2.5 corrige le problème : la mise à jour est la mesure prioritaire.

En bref

• Produit : Contact Form 7, extension de formulaires pour WordPress.
• Versions affectées : toutes les versions antérieures à 6.2.5.
• Version corrigée : 6.2.5.
• Sévérité : non précisée par l'éditeur (aucun score CVSS publié à ce jour).
• CVE : CVE-2026-120407.
• Exploitation active : inconnu.
• Date de l'avis : 11 novembre 2026.

De quoi s'agit-il ?

D'après l'avis publié par WPScan, la faille relève de la catégorie « divulgation de données sensibles ». Elle concerne les valeurs par défaut que l'on peut attribuer aux champs d'un formulaire. Un utilisateur connecté disposant au minimum du rôle Éditeur pourrait s'en servir pour obtenir des informations personnelles sur d'autres comptes du site, auxquelles son rôle ne lui donne normalement pas accès.

L'exploitation suppose donc un compte déjà authentifié avec des droits élevés : un visiteur anonyme ne peut pas s'en servir directement. Le risque reste réel sur les sites où plusieurs personnes ont un accès Éditeur (rédactions, sites multi-auteurs, sites gérés par plusieurs prestataires) ou si un compte de ce niveau est compromis. WPScan indique avoir vérifié la vulnérabilité. La version dans laquelle le défaut est apparu est non précisée par l'éditeur.

Qui est concerné ?

Sont concernés tous les sites WordPress qui utilisent Contact Form 7 dans une version antérieure à 6.2.5. L'extension compte plusieurs millions d'installations actives selon sa fiche WordPress.org et elle est très souvent présente sur les sites vitrines. Le niveau d'exposition dépend surtout du nombre de comptes Éditeur ou Administrateur et de la confiance que vous leur accordez.

Les agences et freelances qui maintiennent plusieurs sites clients ont intérêt à inventorier rapidement les installations concernées : une extension aussi répandue est presque toujours présente quelque part dans un parc.

Que faire ?

• Mettre à jour Contact Form 7 vers la version 6.2.5 ou ultérieure, après avoir vérifié qu'une sauvegarde récente du site existe.
• Faire le point sur les comptes ayant le rôle Éditeur ou supérieur : supprimer les comptes inutilisés et rétrograder ceux qui n'ont pas besoin de ce niveau de droits.
• Consulter les journaux d'activité et de connexion à la recherche de modifications de formulaires inhabituelles ou de connexions suspectes sur des comptes à privilèges.
• En cas de doute, changer les mots de passe des comptes à privilèges et activer l'authentification à deux facteurs.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis appliquer immédiatement la mise à jour.

Si la mise à jour ne peut pas être appliquée tout de suite, limitez en attendant le nombre de comptes capables de modifier les formulaires au strict nécessaire.

Sources

• Avis WPScan sur Contact Form 7 : divulgation de données utilisateur via les valeurs par défaut des formulaires (11 novembre 2026)
• Fiche officielle de Contact Form 7 sur WordPress.org