Veille sécuritéCMS & e-commerce
P3Élevée
Redirection for Contact Form 7 n’assainit ni n’échappe les données de formulaire enregistrées comme entrées de prospects avant leur affichage dans la boîte de débogage. Un attaquant non authentifié peut y stocker un script qui s’exécute lorsqu’un utilisateur connecté consulte l’entrée avec le mode de débogage activé.
WordPress
IdentifiantCVE-2026-111574
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif3.2.12
Source : NVD — CVE-2026-111574
Analyse technique
XSS stockée via des données de formulaire affichées dans la boîte de débogage des entrées de prospects.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-21T06:16:48.137Z, dans la période demandée.
ImpactUn script soumis sans authentification peut s’exécuter dans le navigateur d’un utilisateur connecté qui consulte l’entrée en mode de débogage.
Versions affectéesRedirection for Contact Form 7 pour WordPress avant 3.2.12
Version corrigée3.2.12
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
EPSS0,18% · percentile 7,3%
Publication2026-10-21T06:16:48.137Z
Mise à jour2026-10-21T18:37:38.700Z
Action recommandée
Mettre à jour Redirection for Contact Form 7 vers la version 3.2.12 ou ultérieure ; désactiver le mode de débogage si la mise à jour n’est pas possible.
Sources
Priorisation DFS : P3 · 1 source(s).