Sommaire
Everest Forms, le constructeur de formulaires WordPress installé sur plus de 100 000 sites, corrige une faille de suppression de fichiers non authentifiée (CVE-2026-120513, notée 8,2/10). Un attaquant sans compte pouvait effacer des fichiers du dossier wp-content/uploads en exploitant une validation insuffisante du chemin dans la fonction de suppression des fichiers CSV après envoi d’e-mail.
L’attaque ne fonctionne que si deux conditions sont réunies : le module « Save-and-Continue » est actif et le réglage « Disable storing entry information » est activé sur le formulaire. Dans ce cas, la suppression du fichier .htaccess du dossier des téléversements peut même rouvrir l’exécution de PHP dans ce dossier sur les configurations Apache durcies. Le correctif est la version 3.6.3 : mettez à jour, ou désactivez le module « Save-and-Continue » en attendant. Aucune exploitation n’a été signalée pour l’instant.
Lento dit : Un visiteur sans compte qui peut effacer vos fichiers, juste parce qu’un module est activé : les formulaires, c’est comme les portes de service, on les verrouille ou on les surveille. Mettez à jour, et vérifiez que ce réglage ne traîne pas sur vos formulaires.
