Contournement d’autorisation dans Redirection for Contact Form 7

Veille sécuritéCMS & e-commerce

P4Moyenne

CVE-2026-120659 est un contournement d’autorisation dans Redirection for Contact Form 7, permettant à un attaquant non authentifié d’écrire des métadonnées arbitraires sur de nouveaux leads et de copier certains fichiers serveur vers le répertoire d’envoi du plugin. Toutes les versions jusqu’à 3.2.14 incluse sont concernées ; aucun correctif n’est précisé dans les données fournies.

IdentifiantCVE-2026-120659

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-120659

Analyse technique

Le défaut d’autorisation permet l’écriture de métadonnées et la copie de fichiers portant des extensions MIME autorisées.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication initiale le 2026-11-06 ; cette divulgation est dans la période demandée, indépendamment de ses modifications administratives.

ImpactModification de données de leads et dépôt de fichiers dans le répertoire du plugin.

Versions affectéesToutes les versions jusqu’à 3.2.14 incluse.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.3

EPSS0,47% · percentile 41,1%

Publication2026-11-06T10:16:37.220Z

Mise à jour2026-11-06T16:17:52.647Z

Détection / vérification

L’exploitation requiert un formulaire Contact Form 7 publié avec l’action Save Entry (Save Lead) activée.

Action recommandée

Mettre à jour le plugin lorsqu’un correctif est disponible ; si possible, désactiver l’action Save Entry sur les formulaires concernés.

Sources

NVD — CVE-2026-120659

Priorisation DFS : P4 · 1 source(s).