Ultra Addons for Contact Form 7 : faille critique, version corrigée non précisée

En bref

• Produit : Ultra Addons for Contact Form 7, extension WordPress tierce qui complète Contact Form 7 (module PDF Generator).
• Versions affectées : toutes les versions jusqu'à la 3.5.54 incluse.
• Version corrigée : non précisé par l'éditeur.
• Sévérité : critique, score CVSS 9.8.
• CVE : CVE-2026-102435.
• Exploitation active : inconnu.
• Date de l'avis : 2 novembre 2026.

La base américaine NVD a publié le 2 novembre 2026 un avis concernant l'extension WordPress Ultra Addons for Contact Form 7. Une validation insuffisante des chemins de fichiers permet à un attaquant non authentifié de supprimer des fichiers arbitraires sur le serveur. La suppression d'un fichier de configuration essentiel peut ensuite conduire à une exécution de code à distance, ce qui explique le score CVSS de 9.8.

Point important : la faille ne vise pas l'extension Contact Form 7 elle-même, mais le module complémentaire Ultra Addons for Contact Form 7. Contact Form 7 intervient seulement comme composant présent sur le site, nécessaire pour que l'attaque aboutisse.

Qui est concerné ?

Selon la NVD, un site est exposé si les trois conditions suivantes sont réunies :

• l'extension Ultra Addons for Contact Form 7 est installée, en version 3.5.54 ou antérieure ;
• le module PDF Generator de cette extension est activé ;
• au moins un formulaire Contact Form 7 est configuré pour générer un PDF.

L'avis précise que la vulnérabilité ne peut être exploitée que si la fonction de génération de PDF est activée. Les sites qui utilisent Contact Form 7 sans Ultra Addons, ou Ultra Addons sans le module PDF Generator, ne sont pas visés par cette description. À la date de publication, aucune exploitation active n'est signalée par les sources consultées, mais l'absence d'authentification requise rend la faille attractive pour des attaques automatisées.

Que faire ?

La NVD n'indique pas encore de version corrigée. Une modification du code de l'extension apparaît dans le dépôt WordPress.org, sans numéro de version associé dans l'avis. En attendant une confirmation de l'éditeur :

• Vérifiez sur chaque site si Ultra Addons for Contact Form 7 est installé et dans quelle version.
• Appliquez la mise à jour de l'extension dès qu'une version corrigée est proposée dans le tableau de bord WordPress, puis vérifiez dans son journal des modifications qu'elle mentionne ce correctif de sécurité.
• Si aucune mise à jour n'est disponible, désactivez le module PDF Generator ou l'extension entière tant que le correctif n'est pas confirmé.
• Consultez les journaux du serveur et contrôlez l'intégrité des fichiers du site : la disparition inattendue de fichiers ou des erreurs de configuration soudaines sont des signaux d'alerte.
• En cas de compromission, restaurez une sauvegarde saine antérieure à l'incident, puis changez les mots de passe et les clés de sécurité du site.

Pour les sites dont les sauvegardes sont confiées à Sentinelo, la restauration à partir d'une archive conservée est lancée à la demande par l'équipe Sentinelo.

Sources

• NVD : fiche CVE-2026-102435 (avis de référence, publié le 2 novembre 2026).
• Wordfence Intelligence : fiche de la vulnérabilité.
• WordPress.org : modifications du code de l'extension.