Origine : bjCSIRT
Numéro : 2026/ALERTE/141
APERÇU :
Une vulnérabilité affectant le plugin Contact Form 7 de WordPress permettrait à un acteur malveillant non authentifié de téléverser des fichiers arbitraires sur les serveurs hébergeant les sites affectés.
DESCRIPTION :
Contact Form 7 est une extension (plugin) WordPress largement répandue qui permet de créer et de gérer des formulaires de contact sur les sites web.
Ce produit est affecté par une vulnérabilité de téléversement arbitraire de fichiers sans authentification. En combinant plusieurs failles présentes dans les versions 6.2 à 6.2.3, un acteur malveillant pourrait contourner les contrôles du plugin pour téléverser des fichiers arbitraires, puis les maintenir sur le serveur malgré le mécanisme de suppression automatique.
IMPACT
- Téléversement de fichiers arbitraires sur le serveur ;
- Exécution de code arbitraire à distance ;
- Atteinte à l’intégrité du site web et du serveur ;
SYSTEMES AFFECTÉS
- Les versions de Contact Form 7 de 6.2 à 6.2.3 incluse.
MESURES À PRENDRE :
- Mettre à jour Contact Form 7 vers la version 6.2.4 ou ultérieure, qui corrige la vulnérabilité ;
- Si la mise à jour n’est pas possible, désactiver le listage public des répertoires sur le serveur web et retirer temporairement les champs de téléversement de fichiers des formulaires.
RÉFÉRENCES :