Téléversement de fichiers arbitraires affectant l'extension WordPress Drag and Drop File Upload for Contact Form 7
Une vulnérabilité de téléversement de fichiers arbitraires affectant l'extension WordPress Drag and Drop File Upload for Contact Form 7 permettrait à un attaquant non authentifié de téléverser des fichiers arbitraires.
Description
Contexte technique et détails de la vulnérabilité
Drag and Drop File Upload for Contact Form 7 est une extension WordPress permettant d'intégrer un formulaire de téléversement de fichiers par glisser-déposer dans Contact Form 7. Cette extension est affectée par une vulnérabilité libellée CVE-2026-5364, résultant d'une validation insuffisante du type de fichier téléversé. Elle permettrait à un acteur malveillant non authentifié de téléverser des fichiers PHP et potentiellement d'exécuter du code malveillant à distance. Elle est classée haute avec un score de sévérité de 8.1 selon le CVSS v3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Exécution de code arbitraire à distance ;
- Atteinte à l'intégrité du système.
Systèmes affectés
Produits, composants et versions concernés
- Versions de l'extension WordPress Drag and Drop File Upload for Contact Form 7 jusqu'à la 1.1.3 incluse.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour l'extension Drag and Drop File Upload for Contact Form 7 vers la version 1.1.4 ou supérieure.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.