Veille sécuritéCMS & e-commerce
P3Élevée
Ultra Addons for Contact Form 7 peut permettre la lecture de fichiers arbitraires du serveur par un attaquant non authentifié. La faille concerne les versions jusqu’à 3.5.54, sous certaines conditions : l’extension PDF Generator doit être active et un modèle de corps PDF doit être configuré pour le formulaire ciblé.
WordPress
IdentifiantCVE-2026-100386
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-100386
Analyse technique
Traversée de répertoires via uacf7_wpcf7_mail_components ; exploitation conditionnée à la configuration précisée dans la fiche.
Impact, versions et correctif
Événement datéLa fiche NVD fournie indique une publication le 10 novembre 2026 à 07:16:47 UTC, dans la période demandée.
ImpactDivulgation potentielle de fichiers sensibles du serveur.
Versions affectéesJusqu’à 3.5.54 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
EPSS0,84% · percentile 58,0%
Publication2026-11-10T09:16:47.970+02:00
Mise à jour2026-11-10T18:17:12+02:00
Action recommandée
Vérifier la présence et la configuration de PDF Generator ; appliquer un correctif éditeur dès sa disponibilité.
Sources
Priorisation DFS : P3 · 1 source(s).