Ultra Addons for Contact Form 7 : faille de lecture de fichiers, correctif non précisé

En bref

• Produit : Ultra Addons for Contact Form 7, extension WordPress qui ajoute des modules à Contact Form 7 (ce n'est pas l'extension Contact Form 7 elle-même).
• Versions affectées : toutes les versions jusqu'à la 3.5.54 incluse.
• Version corrigée : non précisé par l'éditeur.
• Sévérité : élevée, score CVSS 7.5.
• CVE : CVE-2026-100386.
• Exploitation active : inconnu.
• Date de l'avis : 10 novembre 2026.

De quoi s'agit-il ?

La base de vulnérabilités américaine NVD a publié le 10 novembre 2026 la fiche CVE-2026-100386, qui concerne l'extension WordPress Ultra Addons for Contact Form 7. Il s'agit d'une faille de type traversée de répertoires (« directory traversal ») située dans le module de génération de PDF de l'extension.

Selon la fiche NVD, un attaquant non authentifié peut lire le contenu de fichiers arbitraires présents sur le serveur. Ces fichiers peuvent contenir des informations sensibles, par exemple des fichiers de configuration contenant des identifiants de base de données. L'impact décrit porte sur la confidentialité : la fiche ne mentionne ni modification de fichiers ni exécution de code.

Le score CVSS de 7.5 classe la faille en sévérité élevée. Aucune inscription au catalogue des vulnérabilités exploitées de la CISA n'est signalée à ce jour : l'exploitation active reste donc inconnue.

Qui est concerné ?

Sont concernés les sites WordPress qui utilisent Ultra Addons for Contact Form 7 dans une version jusqu'à la 3.5.54 incluse, et qui réunissent les deux conditions décrites par la fiche NVD :

• le module « PDF Generator » de l'extension est activé ;
• un modèle de corps de PDF, configuré par un administrateur, est actif sur le formulaire de contact visé.

Un site qui utilise uniquement Contact Form 7, sans Ultra Addons for Contact Form 7, n'est pas visé par cet avis. De même, un site où le module PDF Generator est désactivé ne remplit pas les conditions d'exploitation décrites. Dans le doute, vérifiez la liste des extensions installées et la configuration de chaque formulaire.

Que faire ?

• Vérifiez si Ultra Addons for Contact Form 7 est installé et relevez sa version dans l'écran des extensions.
• Mettez à jour l'extension dès qu'une version corrigée est disponible ; à la date de l'avis, le numéro de la version corrigée est non précisé par l'éditeur. Consultez la fiche Wordfence et la page de l'extension pour confirmation.
• En attendant, désactivez le module PDF Generator ou les modèles PDF des formulaires si vous n'en avez pas l'usage, voire l'extension entière.
• Examinez les journaux d'accès du serveur à la recherche de requêtes inhabituelles visant les formulaires de contact.
• Si une lecture de fichiers sensibles est suspectée, changez les mots de passe et clés exposés (base de données, clés de sécurité WordPress, accès API).
• En cas de compromission avérée, restaurez une sauvegarde saine antérieure à l'incident, puis appliquez la mise à jour avant de remettre le site en ligne.

Sources

• NVD : CVE-2026-100386 (avis de référence).
• Wordfence Threat Intelligence : Ultra Addons for Contact Form 7 (recoupement).