WPSyncSheets for Contact Form 7 : faille d'exécution de code, pas encore de version corrigée

En bref

• Produit : WPSyncSheets For Contact Form 7 – CF7 Google Sheets Connector & Save to Database (extension WordPress complémentaire de Contact Form 7)
• Versions affectées : toutes les versions jusqu'à 1.8.0 incluse
• Version corrigée : non précisé par l'éditeur
• Sévérité : élevée, score CVSS 7.5
• CVE : CVE-2026-104010
• Exploitation active : inconnu
• Date de l'avis : 6 novembre 2026

Une vulnérabilité référencée CVE-2026-104010 a été publiée le 6 novembre 2026 dans la base NVD. Elle concerne l'extension WordPress WPSyncSheets For Contact Form 7, qui enregistre les soumissions des formulaires Contact Form 7 en base de données et les synchronise avec Google Sheets. D'après l'avis, un attaquant non authentifié peut, dans certaines conditions, faire exécuter du code sur le serveur.

Qui est concerné ?

Sont concernés les sites WordPress sur lesquels l'extension WPSyncSheets For Contact Form 7 est installée dans une version allant jusqu'à 1.8.0 incluse. Attention à la confusion de noms : l'avis vise ce module complémentaire, et non l'extension Contact Form 7 elle-même, qui n'y est pas citée comme vulnérable.

La cause décrite est un nettoyage insuffisant des valeurs saisies dans les formulaires avant leur stockage, puis une lecture non restreinte de ces données lorsqu'un administrateur consulte les entrées enregistrées. Il en résulte une injection d'objets PHP. Selon la NVD, l'injection se produit dans tous les cas ; l'exécution de code, elle, suppose qu'un jeton d'accès Google Sheets soit configuré dans l'extension, ce qui correspond à sa fonction principale. Les sites qui utilisent effectivement la synchronisation avec Google Sheets sont donc les plus exposés.

La vulnérabilité ne figure pas, à la date de l'avis, dans le catalogue des failles exploitées de la CISA. L'absence d'exploitation connue ne signifie pas absence de risque, d'autant que l'attaque ne nécessite aucun compte sur le site.

Que faire ?

• Vérifier si l'extension est installée sur vos sites, et dans quelle version.
• Surveiller la page de l'extension et appliquer la mise à jour dès que l'éditeur publie une version corrigée ; la version corrigée n'est pas précisée par l'éditeur à ce stade.
• En attendant, si la synchronisation avec Google Sheets n'est pas indispensable, désactiver l'extension ; à défaut, limiter la consultation des entrées enregistrées dans l'administration.
• Vérifier les journaux du serveur et les entrées de formulaires récentes à la recherche de contenus inhabituels, ainsi que l'apparition de comptes administrateurs ou de fichiers inconnus.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, changer les mots de passe et révoquer le jeton d'accès Google configuré dans l'extension.

Sources

• NVD : CVE-2026-104010 (avis de référence)
• Wordfence Threat Intelligence : fiche de la vulnérabilité (recoupement)