CVE-2026-104010 concerne WPSyncSheets for Contact Form 7 : une soumission non authentifiée peut conduire à une injection d’objet PHP et, dans les conditions décrites, à l’exécution de code à distance. Toutes les versions jusqu’à 1.8.0 incluse sont concernées ; la chaîne RCE nécessite un jeton Google Sheets configuré, tandis que l’injection d’objet sous-jacente peut se produire indépendamment.
Source : NVD — CVE-2026-104010
Analyse technique
Des champs de soumission Contact Form 7 sont enregistrés sans assainissement suffisant, puis traités par maybe_unserialize() sans restriction allowed_classes.
Impact, versions et correctif
Détection / vérification
La chaîne RCE décrite requiert qu’un jeton d’accès Google Sheets soit configuré dans le plugin.
Action recommandée
Mettre à jour le plugin dès qu’un correctif est disponible ; si le connecteur n’est pas nécessaire, envisager de le désactiver et de retirer le jeton configuré.
Sources
Priorisation DFS : P3 · 1 source(s).