Veille sécuritéCMS & e-commerce
P3Critique
Contact Form 7 avant la version 6.2.4 ne valide pas le type ou l’extension des fichiers envoyés et peut les laisser sur le disque après leur traitement. Un attaquant non authentifié peut déposer un fichier arbitraire; selon la configuration du serveur, il peut être exécuté ou servi comme contenu actif.
WordPress
IdentifiantCVE-2026-114432
GravitéCritique
Exploitationnon connue / non déterminée
Correctif6.2.4
Source : NVD — CVE-2026-114432
Analyse technique
Sur certaines configurations Debian/Ubuntu Apache, un fichier .phar peut être accessible et traité par PHP; sur d’autres configurations, le fichier peut néanmoins être servi depuis le site comme contenu actif.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-08, dans la période demandée; l’enregistrement décrit une vulnérabilité et précise la version corrigée.
ImpactDépôt non authentifié de fichiers arbitraires; exécution de code possible dans certaines configurations, ou diffusion de contenu actif depuis le site.
Versions affectéesContact Form 7 avant 6.2.4
Version corrigée6.2.4
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.8
EPSS0,22% · percentile 12,0%
Publication2026-11-08T06:17:04.807Z
Mise à jour2026-11-08T19:17:34.347Z
Action recommandée
Mettre à jour Contact Form 7 vers la version 6.2.4 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).