Redirection for Contact Form 7 : contournement d'autorisation jusqu'à 3.2.14

En bref

• Produit : Redirection for Contact Form 7 (extension WordPress complémentaire de Contact Form 7)
• Versions affectées : toutes les versions jusqu'à 3.2.14 incluse
• Version corrigée : non précisé par l'éditeur à la date de l'avis
• Sévérité : moyenne, score CVSS 5.3
• CVE : CVE-2026-120659
• Exploitation active : inconnu
• Date de l'avis : 6 novembre 2026

Une vulnérabilité de contournement d'autorisation a été publiée le 6 novembre 2026 dans la base NVD pour l'extension WordPress Redirection for Contact Form 7. Elle ne concerne pas l'extension Contact Form 7 elle-même, mais ce module complémentaire qui ajoute des actions après l'envoi d'un formulaire (redirection, enregistrement des demandes, etc.).

Selon l'avis, l'extension ne vérifie pas correctement qu'un utilisateur est autorisé à effectuer certaines actions. Un attaquant non authentifié peut ainsi écrire des métadonnées arbitraires sur les fiches de prospects (« leads ») nouvellement créées, et copier des fichiers présents sur le serveur, d'un type autorisé par l'extension, vers son dossier de téléversement. Ce second point peut exposer des fichiers qui n'ont pas vocation à être accessibles publiquement.

Le score CVSS de 5.3 classe la faille en sévérité moyenne. Aucune exploitation active n'est signalée dans le catalogue de la CISA à la date de l'avis.

Qui est concerné ?

Sont concernés les sites WordPress qui utilisent Redirection for Contact Form 7 dans une version jusqu'à 3.2.14 incluse. L'avis précise une condition d'exploitation importante : le site doit comporter un formulaire Contact Form 7 publié, configuré avec l'action d'enregistrement des demandes (« Save Entry » ou « Save Lead ») activée.

Un site qui utilise uniquement Contact Form 7, sans cette extension complémentaire, n'est pas visé par cet avis. De même, un site où l'extension est installée mais où aucun formulaire publié n'utilise l'action d'enregistrement ne remplit pas la condition décrite. La mise à jour reste néanmoins recommandée dans tous les cas.

Que faire ?

• Vérifier dans la liste des extensions si Redirection for Contact Form 7 est installée, et relever sa version.
• Mettre à jour l'extension vers une version postérieure à 3.2.14 dès qu'elle est proposée ; le numéro de la version corrigée est non précisé par l'éditeur dans l'avis.
• En attendant, si l'action d'enregistrement des demandes n'est pas indispensable, la désactiver sur les formulaires publiés, ou désactiver temporairement l'extension.
• Vérifier les journaux du serveur et le contenu du dossier de téléversement de l'extension : la présence de fichiers inattendus doit alerter.
• Contrôler les fiches de prospects récentes à la recherche de métadonnées incohérentes.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis appliquer la mise à jour avant de remettre le site en ligne.

Pour les agences qui maintiennent plusieurs sites clients, un inventaire des extensions installées sur l'ensemble du parc permet d'identifier les sites à traiter en priorité, en commençant par ceux qui collectent des demandes via des formulaires.

Sources

• NVD : CVE-2026-120659 (avis officiel, score et versions affectées)
• Wordfence Threat Intelligence : fiche de la vulnérabilité (recoupement)