CVE-2026-93388: Printcart-Plugin ermöglicht Codeausführung ohne Anmeldung
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.CVE-2026-93388 betrifft das Plugin Printcart Store für WooCommerce. Betroffen sind alle Versionen bis einschließlich 2.9.1. Die Schwachstelle erlaubt nicht angemeldeten Angreifern das Hochladen beliebiger Dateien und kann zur Ausführung von Code auf dem Server führen.
Wordfence bewertet die Schwachstelle mit einem CVSS-Wert von 9.8 und ordnet sie CWE-434 zu. Der Patch ist mit Version 2.9.2 verfügbar.
Angriffspfad über eine öffentlich erreichbare AJAX-Aktion
Die betroffene Aktion nbdesigner_copy_image_from_url ist für nicht angemeldete Aufrufe registriert. Im Google-Drive-Zweig wird der Name der Zieldatei aus dem durch Angreifer kontrollierten Parameter gapi[name] gebildet. Dadurch wird die Dateityp-Prüfung umgangen, die für einen anderen Verarbeitungszweig vorgesehen ist.
Die abgerufenen Daten werden im webzugänglichen Verzeichnis wp-content/uploads/nbdesigner/temp/ abgelegt. Unter diesen Bedingungen kann eine PHP-Datei in einem Verzeichnis landen, in dem PHP ausgeführt wird. Angreifer können hierfür eine eigene Google-Drive-Datei und ein OAuth-Token als Inhaltsquelle einsetzen.
Ein für das Speichern von Designs benötigter Nonce stellt laut Wordfence keine Hürde dar: Der Endpunkt nbd_check_use_logged_in gibt ihn auch nicht angemeldeten Aufrufern aus.
Betroffenheit und zeitliche Einordnung
Die Schwachstelle betrifft Printcart Store bis einschließlich Version 2.9.1. Der Patch wurde am 28. September 2026 veröffentlicht; die CVE-Dokumentation folgte am 14. Oktober 2026. Die Schwachstelle wurde von Osman Hussein entdeckt und gemeldet.
Für die Priorisierung sind insbesondere drei Fragen relevant:
Ist Printcart Store auf einer WooCommerce-Instanz im Einsatz?
Wird die betroffene Webanwendung unter einer öffentlich erreichbaren Unternehmensdomain betrieben?
Befinden sich im Verzeichnis wp-content/uploads/nbdesigner/temp/ verdächtige PHP-Dateien?
Betreiber öffentlich erreichbarer WooCommerce-Shops innerhalb der EU, die personenbezogene Daten verarbeiten, sollten im Fall einer erfolgreichen Ausnutzung die Meldepflicht nach Art. 33 DSGVO beachten: Datenschutzbehörden sind in der Regel innerhalb von 72 Stunden zu informieren. Für Betreiber in Deutschland und Österreich, die unter NIS-2 bzw. das österreichische NISG fallen, gilt darüber hinaus die Pflicht zur angemessenen Behandlung bekannt gewordener Schwachstellen. Betreiber in der Schweiz unterliegen dem revidierten Informationssicherheitsgesetz (ISG) mit Meldepflicht an das BACS.
Maßnahmen für betroffene Installationen
Plugin aktualisieren: Printcart Store auf Version 2.9.2 oder höher aktualisieren.
Patchstatus prüfen: Installierte Versionen und betroffene WooCommerce-Instanzen erfassen.
Temporäres Verzeichnis untersuchen: Das Verzeichnis wp-content/uploads/nbdesigner/temp/ auf verdächtige PHP-Dateien prüfen.
Bei Kompromittierungsindikatoren reagieren: Bei auffälligen Dateien oder anderen Hinweisen den Incident-Response-Prozess einleiten.
Skriptausführung im temporären Verzeichnis unterbinden: Der Plugin-Patch ergänzt serverseitige Schutzregeln für das temporäre Verzeichnis; für Nginx-Umgebungen können je nach Serverkonfiguration zusätzliche Regeln erforderlich sein — Details entnehmen Sie dem Patch-Diff im WordPress Plugin Repository.
Extern erreichbare Webanwendungen zuordnen
Das Printcart Store Plugin wird innerhalb einer WordPress- und WooCommerce-Webanwendung unter der Domain des betreibenden Unternehmens eingesetzt. Die betroffene AJAX-Aktion ist ohne Anmeldung aufrufbar und gehört damit zur extern erreichbaren Angriffsfläche.
LocateRisk unterstützt die Sichtbarkeit öffentlich erreichbarer Systeme und eingesetzter Software unter Unternehmensdomains. Das ermöglicht es, WordPress- und WooCommerce-Instanzen für die weitere technische Prüfung zuzuordnen und die Bearbeitung exponierter Anwendungen zu priorisieren. Die Feststellung einer konkret verwundbaren Version sowie Patchen, forensische Prüfung und Incident Response verbleiben bei den zuständigen Teams.
Bin ich betroffen?
Betroffen ist Printcart Store in den oben genannten Versionen; behoben wurde die Schwachstelle in 2.9.2. Wer wissen will, ob Printcart Store in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar ist, kann den CVE-Quick-Check am Ende dieses Artikels nutzen: Er zeigt exponierte Systeme und die von außen erkennbare Software.
Die konkret installierte Version lässt sich von außen nicht in jedem Fall bestimmen — ausschlaggebend ist der Abgleich mit dem Hersteller-Advisory.
Die Schwachstelle wird mit einem CVSS-Score von 9.8 (Critical) bewertet. Der Score spiegelt wider, dass ein Angriff ohne Authentifizierung, ohne Nutzerinteraktion und über das Netzwerk möglich ist und im Erfolgsfall vollständige Kontrolle über Vertraulichkeit, Integrität und Verfügbarkeit des Systems ermöglicht.
Zum Zeitpunkt der CVE-Veröffentlichung am 14. Oktober 2026 war laut Wordfence keine aktive Ausnutzung bekannt. Angesichts des kritischen CVSS-Scores und der fehlenden Authentifizierungsvoraussetzung ist eine zeitnahe Aktualisierung auf Version 2.9.2 dennoch dringend empfohlen.
Das Verzeichnis wp-content/uploads/nbdesigner/temp/ sollte auf PHP-Dateien untersucht werden, die dort nicht erwartet werden. Sollten solche Dateien vorhanden sein, ist der Incident-Response-Prozess einzuleiten.
Stand: 14.10.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Grobe Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2026-93388
Passive Bewertung
Hinweise zur CVEgefunden oder nicht gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français