Redirection for Contact Form 7 : demandes RGPD falsifiables, corrigé en 3.2.16

En bref

• Produit : Redirection for Contact Form 7, extension WordPress complémentaire du formulaire Contact Form 7
• Versions affectées : toutes les versions antérieures à 3.2.16
• Version corrigée : 3.2.16
• Sévérité : score CVSS non précisé par l'éditeur à la date de l'avis
• CVE : CVE-2026-121873
• Exploitation active : inconnu
• Date de l'avis : 11 novembre 2026

De quoi s'agit-il ?

Redirection for Contact Form 7 ajoute des actions aux formulaires Contact Form 7, dont une action qui transmet à WordPress une demande portant sur des données personnelles : export ou effacement. Ces demandes alimentent les outils de confidentialité intégrés à WordPress, ceux que l'administrateur utilise pour répondre aux droits d'accès et d'effacement prévus par le RGPD.

Selon l'avis publié dans la base NVD, l'extension ne vérifie pas que l'adresse e-mail saisie dans le formulaire appartient bien à la personne qui l'envoie. Pire, dans sa configuration par défaut, elle enregistre la demande comme déjà confirmée. Normalement, WordPress envoie un lien de confirmation à l'adresse concernée et attend que son titulaire clique dessus : cette étape est ici court-circuitée.

Concrètement, un visiteur non authentifié peut créer, au nom d'une adresse qu'il ne contrôle pas, une demande d'export ou d'effacement de données personnelles qui apparaît comme vérifiée dans l'administration. Si un administrateur traite cette demande en se fiant à son statut, il risque d'effacer les données d'un client ou d'un utilisateur sans son accord, ou d'en préparer l'export. La faille ne donne pas directement accès au site, mais elle fausse un processus de conformité.

Attention à ne pas confondre : la faille concerne l'extension complémentaire Redirection for Contact Form 7, pas l'extension Contact Form 7 elle-même.

Qui est concerné ?

Tous les sites WordPress sur lesquels l'extension Redirection for Contact Form 7 est installée dans une version antérieure à 3.2.16 et qui utilisent son action de demande de données personnelles dans un formulaire. Les sites qui n'ont pas configuré cette action sont moins exposés, mais la mise à jour reste recommandée. L'avis ne signale pas, à ce stade, d'exploitation active.

Que faire ?

• Mettre à jour Redirection for Contact Form 7 vers la version 3.2.16 depuis le tableau de bord WordPress (Extensions), après une sauvegarde.
• Passer en revue les demandes en attente ou confirmées dans Outils, rubriques d'export et d'effacement des données personnelles, et ne traiter aucune demande dont l'origine est douteuse sans avoir recontacté directement la personne concernée.
• Vérifier les journaux du site et l'historique des demandes reçues par formulaire pour repérer des envois inhabituels.
• Si des données ont été effacées à tort, restaurer une sauvegarde saine antérieure à la demande frauduleuse.
• Si l'action de demande de données n'est pas utile, la désactiver dans les formulaires concernés.

Sources

• NVD : fiche CVE-2026-121873 (avis de référence)
• WPScan : fiche de la vulnérabilité (recoupement)