CVE-2026-19803: Dateiupload-Risiko im Printcart-Plugin
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.CVE-2026-19803 betrifft das WordPress-Plugin Printcart Store – Web to Print Product Designer for WooCommerce in allen Versionen bis einschließlich 2.13.2. Laut Wordfence erhält die Schwachstelle einen CVSS-Score von 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). Unter einer bestimmten Upload-Konfiguration können nicht angemeldete Angreifer kontrollierte PHP-Inhalte außerhalb des vorgesehenen Upload-Verzeichnisses ablegen. Wird die geschriebene Datei anschließend aufgerufen, kann dies die Ausführung von Code auf dem betroffenen Server ermöglichen.
Die Schwachstelle befindet sich im AJAX-Handler nbu_crop_image. Dieser verarbeitet einen übergebenen url-Parameter mit Nbdesigner_IO::convert_url_to_path.
Nach Angaben von Wordfence werden ../-Sequenzen bei der Verarbeitung nicht normalisiert oder entfernt. Der resultierende Pfad wird an das Basisverzeichnis für Uploads angehängt. Zielverzeichnis und Dateiendung werden anschließend mit pathinfo aus demselben kontrollierten Pfad abgeleitet. Vor dem Schreiben der Datei erfolgt kein Aufruf von stripImage.
Dadurch kann ein Angreifer kontrollierte PHP-Inhalte an Pfade außerhalb des Upload-Verzeichnisses schreiben. Die Ausführung von Code setzt voraus, dass die abgelegte Datei anschließend über den Webserver abgerufen wird.
Die nicht authentifizierte Erreichbarkeit ist an eine konkrete Einstellung gebunden: Die Site-Option nbdesigner_upload_popup_style muss den Wert a für Advanced Upload Popup enthalten. In diesem Fall wird der Handler für nicht authentifizierte Anfragen registriert. Das erforderliche save-design-Nonce wird auf der öffentlich erreichbaren Seite upload-design-file ausgegeben und kann damit von anonymen Besuchern abgerufen werden.
Betroffenheit prüfen und Risiko begrenzen
Für WordPress- und WooCommerce-Instanzen mit Printcart sollte zunächst geprüft werden, ob eine Version bis einschließlich 2.13.2 eingesetzt wird und ob Advanced Upload Popup aktiv ist.
Folgende Schritte sind für betroffene Systeme vorgesehen:
Den Patchstatus und die Betroffenheit für CVE-2026-19803 prüfen.
Prüfen, ob nbdesigner_upload_popup_style auf a gesetzt ist.
Das Plugin deaktivieren, wenn Advanced Upload Popup aktiv ist und noch keine fehlerbereinigte Version installiert werden kann.
Den AJAX-Endpunkt nbu_crop_image über eine WAF- oder Server-Konfiguration blockieren, sofern eine Deaktivierung nicht möglich ist.
Upload-Verzeichnisse sowie angrenzende Pfade auf unerwartet abgelegte PHP-Dateien untersuchen.
Eine vom Hersteller veröffentlichte fehlerbereinigte Plugin-Version installieren, sobald sie verfügbar ist.
Für die weitere Bearbeitung sollten betroffene Systeme priorisiert und das Plugin-Inventar gepflegt werden. Dazu gehören die Zuordnung von Domains zu WordPress-Installationen sowie die Erfassung eingesetzter Erweiterungen und ihrer Versionen.
Betreiber von WooCommerce-Shops in Deutschland und Österreich, die unter NIS-2 oder das jeweilige nationale Umsetzungsgesetz fallen, sollten prüfen, ob eine erfolgreiche Ausnutzung eine meldepflichtige Sicherheitsverletzung darstellt. In Deutschland ist das BSI zuständige Meldebehörde; die 72-Stunden-Frist nach Art. 33 DSGVO greift zusätzlich, sofern personenbezogene Daten betroffen sind. Für Schweizer Betreiber gilt seit dem revidierten Informationssicherheitsgesetz (ISG) eine Meldepflicht gegenüber dem BACS.
Extern erreichbare Shop-Systeme erfassen
CVE-2026-19803 betrifft eine serverseitig installierte Erweiterung in WooCommerce-Umgebungen. Solche Anwendungen können unter Kundendomains betrieben werden und sind über pluginbezogene Pfade, Assets oder WordPress-Fingerprinting extern erkennbar.
LocateRisk unterstützt External Attack Surface Management, indem es extern erreichbare Assets und eingesetzte Software sichtbar macht. Für diesen Fall kann diese Sicht dazu dienen, öffentlich erreichbare WordPress- und WooCommerce-Systeme als Prüfobjekte zu erfassen. Die konkrete verwundbare Plugin-Version muss anschließend anhand des eigenen Inventars und der installierten Software geprüft werden.
Kontinuierliches Monitoring kann neu erreichbare Systeme, verwaiste Subdomains und unerwartet veröffentlichte Webanwendungen erfassen. Die Bewertung von CVE-2026-19803 erfordert ergänzend klare Zuständigkeiten für Plugin-Updates, Konfigurationsprüfungen und die Untersuchung auffälliger PHP-Dateien.
Bin ich betroffen?
Betroffen ist Printcart Store in den oben genannten Versionen. Wer wissen will, ob Printcart Store in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar ist, kann den CVE-Quick-Check am Ende dieses Artikels nutzen: Er zeigt exponierte Systeme und die von außen erkennbare Software.
Die konkret installierte Version lässt sich von außen nicht in jedem Fall bestimmen — ausschlaggebend ist der Abgleich mit dem Hersteller-Advisory.
Betroffen sind alle Versionen des Plugins Printcart Store – Web to Print Product Designer for WooCommerce bis einschließlich 2.13.2. Eine fehlerbereinigte Version war zum Zeitpunkt der Veröffentlichung dieser Meldung noch nicht verfügbar.
Die Ausnutzung setzt voraus, dass die Site-Option nbdesigner_upload_popup_style auf den Wert a (Advanced Upload Popup) gesetzt ist. Ist diese Einstellung nicht aktiv, ist der betroffene AJAX-Handler nicht für nicht authentifizierte Anfragen registriert und die Angriffsfläche damit deutlich eingeschränkt. Eine Prüfung der Konfiguration ist dennoch empfohlen.
Bis zur Verfügbarkeit einer fehlerbereinigten Plugin-Version empfiehlt sich die Deaktivierung des Plugins oder — falls das nicht möglich ist — die Sperrung des AJAX-Endpunkts nbu_crop_image über eine WAF- oder Server-Konfiguration. Zusätzlich sollten Upload-Verzeichnisse und angrenzende Pfade auf unerwartet abgelegte PHP-Dateien untersucht werden.
Stand: 07.11.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Erste Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2026-19803
Passive Bewertung
Hinweise zur CVEgefunden oder nicht gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français