CVE-2026-93388 : Le plugin Printcart permet l'exécution de code sans authentification
Ce texte a été généré par l'intelligence artificielle (IA).CVE-2026-93388 concerne le plugin Printcart Store pour WooCommerce. Toutes les versions jusqu'à 2.9.1 incluses sont concernées. La vulnérabilité permet à des attaquants non authentifiés de télécharger n'importe quel fichier et peut conduire à l'exécution de code sur le serveur.
Wordfence évalue la vulnérabilité avec un score CVSS de 9.8 et l'associe à CWE-434. Le patch est disponible avec la version 2.9.2.
Chemin d'attaque via une action AJAX accessible publiquement
L'action concernée nbdesigner_copy_image_from_url est enregistrée pour des appels non authentifiés. Dans la branche Google Drive, le nom du fichier cible est formé à partir du paramètre contrôlé par l'attaquant gapi[name] Ce qui contourne la vérification du type de fichier prévue pour une autre branche de traitement.
Les données récupérées sont stockées dans le répertoire accessible sur le web wp-content/uploads/nbdesigner/temp/ Dans ces conditions, un fichier PHP peut se retrouver dans un répertoire où PHP est exécuté. Les attaquants peuvent utiliser pour cela un fichier Google Drive propre et un jeton OAuth comme source de contenu.
Un nonce requis pour le stockage des designs ne représente pas un obstacle selon Wordfence : le point de terminaison nbd_check_use_logged_in le retourne également aux demandeurs non authentifiés.
Pertinence et chronologie
La vulnérabilité concerne Printcart Store jusqu'à la version 2.9.1 incluse. Le patch a été publié le 28 septembre 2026 ; la documentation CVE a suivi le 14 octobre 2026. La vulnérabilité a été découverte et signalée par Osman Hussein.
Pour la priorisation, trois questions sont particulièrement pertinentes :
Le Printcart Store est-il utilisé sur une instance WooCommerce ?
L'application web concernée est-elle exploitée sous un domaine d'entreprise accessible publiquement ?
Y a-t-il des fichiers PHP suspects dans le répertoire wp-content/uploads/nbdesigner/temp/ ?
Les opérateurs de boutiques WooCommerce accessibles au public au sein de l'UE qui traitent des données personnelles doivent respecter l'obligation de notification en vertu de l'article 33 du RGPD en cas d'exploitation réussie : les autorités de protection des données doivent en général être informées dans les 72 heures. Pour les opérateurs en Allemagne et en Autriche, qui sont soumis à la NIS-2 ou à la NISG autrichienne, s'ajoute l'obligation de traiter de manière appropriée les vulnérabilités connues. Les opérateurs en Suisse sont soumis à la loi révisée sur la sécurité de l'information (ISG) avec une obligation de notification à la BACS.
Mesures à prendre pour les installations concernées
Mettre à jour le plugin : Mettre à jour Printcart Store vers la version 2.9.2 ou supérieure.
Vérifier l'état du patch : Recenser les versions installées et les instances WooCommerce concernées.
Examiner le répertoire temporaire : Le répertoire wp-content/uploads/nbdesigner/temp/ doit être vérifié pour des fichiers PHP suspects.
Réagir aux indicateurs de compromission : Lancer le processus de réponse aux incidents en cas de fichiers suspects ou d'autres indications.
Interdire l'exécution de scripts dans le répertoire temporaire : Le patch du plugin complète les règles de protection côté serveur pour le répertoire temporaire ; pour les environnements Nginx, des règles supplémentaires peuvent être nécessaires selon la configuration du serveur — veuillez consulter le patch diff dans le répertoire des plugins WordPress.
Attribuer des applications web accessibles externes
Le plugin Printcart Store est utilisé au sein d'une application web WordPress et WooCommerce sous le domaine de l'entreprise exploitante. L'action AJAX concernée est accessible sans connexion et fait ainsi partie de la surface d'attaque accessible publiquement.
LocateRisk soutient la visibilité des systèmes accessibles publiquement et des logiciels utilisés sous les domaines d'entreprise. Cela permet d'attribuer des instances WordPress et WooCommerce pour un contrôle technique ultérieur et de prioriser le traitement des applications exposées. L'identification d'une version concrètement vulnérable ainsi que le patching, l'analyse judiciaire et la réponse aux incidents restent de la responsabilité des équipes concernées.
Suis-je concerné ?
Le Printcart Store est concerné dans les versions mentionnées ci-dessus ; la vulnérabilité a été corrigée dans la version 2.9.2. Ceux qui souhaitent savoir si Printcart Store est visible dans leur infrastructure accessible au public peuvent consulter le Vérification rapide CVE à consulter à la fin de cet article : il présente les systèmes exposés et les logiciels identifiables depuis l'extérieur.
Il n'est pas toujours possible de déterminer la version effectivement installée à partir d'éléments externes — il est essentiel de la comparer avec l'avis de sécurité du fabricant.
La vulnérabilité est évaluée avec un score CVSS de 9.8 (Critique). Le score reflète qu'une attaque est possible sans authentification, sans interaction de l'utilisateur et via le réseau, et en cas de succès, elle permet un contrôle total sur la confidentialité, l'intégrité et la disponibilité du système.
Au moment de la publication de la CVE le 14 octobre 2026, aucune exploitation active n'était connue selon Wordfence. Étant donné le score CVSS critique et l'absence de condition d'authentification, une mise à jour rapide vers la version 2.9.2 est néanmoins vivement recommandée.
Le répertoire wp-content/uploads/nbdesigner/temp/ doit être examiné pour des fichiers PHP qui ne sont pas attendus. Si de tels fichiers sont présents, le processus de réponse aux incidents doit être lancé.
État : 14.10.2026. Cet article a un but d'information générale et ne constitue pas un conseil juridique, de sécurité ou d'action au cas par cas. La situation de sécurité et la disponibilité des patches peuvent avoir changé depuis la publication ; l'avis du fabricant lié est toujours le plus pertinent. Malgré des recherches minutieuses, nous ne garantissons pas l'actualité, l'exactitude et l'exhaustivité.
Vérification rapide CVE
Vérifiez en quelques minutes si votre surface d'attaque visible depuis l'extérieur présente des indices liés à une vulnérabilité CVE actuelle.
Une estimation approximative en quelques minutes par e-mail.
Pour en savoir plus, contactez gratuitement un consultant LocateRisk.
Vous recevrez cela par e-mail
EntreprisesVotre société GmbH
CVE vérifiésCVE-2026-93388
Évaluation passive
Remarques concernant le CVEtrouvé ou non trouvé
En savoir plus, réserver une démo ou simplement échanger quelques mots ? Nous nous en réjouissons !
Nous utilisons des cookies pour optimiser notre site web et nos services.
Fonctionnel
Always active
le stockage technique ou l'accès est strictement nécessaire dans le but légitime de permettre l'utilisation d'un service spécifique expressément demandé par l'abonné ou l'utilisateur, ou dans le seul but d'effectuer la transmission d'une communication par la voie d'un réseau de communications électroniques
Préférences
le stockage ou l'accès technique est nécessaire aux fins légitimes de la conservation des préférences qui n'ont pas été demandées par l'abonné ou l'utilisateur.
Statistiques
le stockage ou l'accès technique, à des fins exclusivement statistiques.le stockage ou l'accès technique, utilisé uniquement à des fins statistiques anonymes. En l'absence d'une citation, d'un accord volontaire de ton fournisseur d'accès à Internet ou d'enregistrements supplémentaires de tiers, les informations stockées ou consultées à cette seule fin ne peuvent généralement pas être utilisées pour t'identifier.
Marketing
Le stockage technique ou l'accès est nécessaire pour créer des profils d'utilisateurs, pour envoyer des publicités ou pour suivre l'utilisateur sur un site web ou sur plusieurs sites web à des fins de marketing similaires.
Français 
Deutsch 
English