CVE-2026-19803: Risque de téléversement de fichiers dans le plugin Printcart
Ce texte a été généré par l'intelligence artificielle (IA).CVE-2026-19803 concerne le plugin WordPress Printcart Store – Web to Print Product Designer for WooCommerce dans toutes les versions jusqu'à celle-ci incluse 2.13.2. Selon Wordfence, la vulnérabilité reçoit un score CVSS de 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). Dans une certaine configuration de téléchargement, des attaquants non authentifiés peuvent déposer des contenus PHP contrôlés en dehors du répertoire de téléchargement prévu. Si le fichier écrit est ensuite appelé, cela peut permettre l'exécution de code sur le serveur concerné.
La vulnérabilité se trouve dans le gestionnaire AJAX nbu_crop_image. Celui-ci traite un paramètre de urlavec Nbdesigner_IO::convert_url_to_path.
Selon Wordfence, les ../-séquences ne sont pas normalisées ou supprimées lors du traitement. Le chemin résultant est ajouté au répertoire de base pour les téléchargements. Le répertoire cible et l'extension de fichier sont ensuite dérivés avec pathinfo du même chemin contrôlé. Avant l'écriture du fichier, aucun appel à stripImage.
n'est effectué. Cela permet à un attaquant d'écrire des contenus PHP contrôlés à des chemins en dehors du répertoire de téléchargement. L'exécution de code requiert que le fichier déposé soit ensuite récupéré via le serveur web.
L'accessibilité non authentifiée est liée à un paramètre spécifique : L'option de site nbdesigner_upload_popup_style doit contenir la valeur a pour Advanced Upload Popup Dans ce cas, le gestionnaire pour les requêtes non authentifiées est enregistré. Le save-design-Nonce est affiché sur la page accessible au public upload-design-file et peut donc être récupéré par des visiteurs anonymes.
Vérifier l'impact et limiter le risque
Pour les instances WordPress et WooCommerce avec Printcart, il convient d'abord de vérifier si une version jusqu'à la 2.13.2 est utilisée et si Advanced Upload Popup est actif.
Les étapes suivantes sont prévues pour les systèmes concernés :
Vérifier l'état de correctif et l'impact pour CVE-2026-19803.
Vérifier si nbdesigner_upload_popup_style sur a est défini.
Désactiver le plugin si Advanced Upload Popup est actif et qu'une version corrigée ne peut pas encore être installée.
Bloquer le point de terminaison AJAX nbu_crop_image via une configuration WAF ou serveur, si une désactivation n'est pas possible.
Examiner les répertoires de téléchargement et les chemins adjacents pour des fichiers PHP déposés de manière inattendue.
Installer une version corrigée du plugin publiée par le fabricant dès qu'elle est disponible.
Pour un traitement ultérieur, les systèmes concernés doivent être priorisés et l'inventaire des plugins mis à jour. Cela inclut l'attribution de domaines aux installations WordPress ainsi que l'enregistrement des extensions utilisées et de leurs versions.
Les exploitants de boutiques WooCommerce en Allemagne et en Autriche, qui tombent sous le NIS-2 ou la législation nationale correspondante, devraient vérifier si une exploitation réussie constitue une violation de sécurité à signaler. En Allemagne, le BSI est l'autorité de notification compétente ; le délai de 72 heures selon l'article 33 du RGPD s'applique également si des données personnelles sont concernées. Pour les exploitants suisses, une obligation de signalement s'applique depuis la révision de la loi sur la sécurité de l'information (ISG) envers le BACS.
Recueillir les systèmes de boutique accessibles de l'extérieur
CVE-2026-19803 concerne une extension installée côté serveur dans des environnements WooCommerce. De telles applications peuvent être exploitées sous des domaines clients et sont extêmement détectables via des chemins liés au plugin, des actifs ou le fingerprinting de WordPress.
LocateRisk soutient la gestion de la surface d'attaque externe en rendant visibles les actifs accessibles de l'extérieur et le logiciel utilisé. Pour ce cas, cette visibilité peut servir à recenser les systèmes WordPress et WooCommerce accessibles au public en tant qu'objets d'évaluation. La version vulnérable spécifique du plugin doit ensuite être vérifiée par rapport à son propre inventaire et au logiciel installé.
Le monitoring continu peut capturer de nouveaux systèmes accessibles, des sous-domaines orphelins et des applications Web publiées de manière inattendue. L'évaluation de CVE-2026-19803 nécessite en outre des responsabilités claires pour les mises à jour de plugin, les vérifications de configuration et l'examen des fichiers PHP suspects.
Suis-je concerné ?
Concerné est Printcart Store dans les versions mentionnées ci-dessus. Ceux qui veulent savoir si Printcart Store est visible dans leur infrastructure accessible de l'extérieur peuvent vérifier le Vérification rapide CVE à consulter à la fin de cet article : il présente les systèmes exposés et les logiciels identifiables depuis l'extérieur.
Il n'est pas toujours possible de déterminer la version effectivement installée à partir d'éléments externes — il est essentiel de la comparer avec l'avis de sécurité du fabricant.
Toutes les versions du plugin sont concernées Printcart Store – Web to Print Product Designer for WooCommerce jusqu'à y compris 2.13.2. Une version corrigée n'était pas encore disponible au moment de la publication de cet avis.
L'exploitation nécessite que l'option de site nbdesigner_upload_popup_style soit définie sur a (Advanced Upload Popup). Si ce paramètre n'est pas actif, le gestionnaire AJAX concerné n'est pas enregistré pour les demandes non authentifiées et la surface d'attaque est donc considérablement réduite. Il est néanmoins recommandé de vérifier la configuration.
Jusqu'à la disponibilité d'une version corrigée du plugin, il est conseillé de désactiver le plugin ou - si cela n'est pas possible - de bloquer le point de terminaison AJAX nbu_crop_image via une configuration WAF ou serveur. De plus, les répertoires d'upload et les chemins adjacents doivent être examinés pour détecter des fichiers PHP déposés de manière inattendue.
Date: 07.11.2026. Cet article est à titre d'information générale et ne constitue pas un conseil juridique, en matière de sécurité ou d'action au cas par cas. La situation de sécurité et la disponibilité des correctifs peuvent avoir changé depuis la publication; le fabricant-advisory lié est toujours déterminant. Malgré des recherches approfondies, nous déclinons toute responsabilité quant à l'actualité, l'exactitude et l'exhaustivité.
Vérification rapide CVE
Vérifiez en quelques minutes si votre surface d'attaque visible depuis l'extérieur présente des indices liés à une vulnérabilité CVE actuelle.
Première évaluation en quelques minutes par e-mail.
Pour en savoir plus, contactez gratuitement un consultant LocateRisk.
Vous recevrez cela par e-mail
EntreprisesVotre société GmbH
CVE vérifiésCVE-2026-19803
Évaluation passive
Remarques concernant le CVEtrouvé ou non trouvé
En savoir plus, réserver une démo ou simplement échanger quelques mots ? Nous nous en réjouissons !
Nous utilisons des cookies pour optimiser notre site web et nos services.
Fonctionnel
Always active
le stockage technique ou l'accès est strictement nécessaire dans le but légitime de permettre l'utilisation d'un service spécifique expressément demandé par l'abonné ou l'utilisateur, ou dans le seul but d'effectuer la transmission d'une communication par la voie d'un réseau de communications électroniques
Préférences
le stockage ou l'accès technique est nécessaire aux fins légitimes de la conservation des préférences qui n'ont pas été demandées par l'abonné ou l'utilisateur.
Statistiques
le stockage ou l'accès technique, à des fins exclusivement statistiques.le stockage ou l'accès technique, utilisé uniquement à des fins statistiques anonymes. En l'absence d'une citation, d'un accord volontaire de ton fournisseur d'accès à Internet ou d'enregistrements supplémentaires de tiers, les informations stockées ou consultées à cette seule fin ne peuvent généralement pas être utilisées pour t'identifier.
Marketing
Le stockage technique ou l'accès est nécessaire pour créer des profils d'utilisateurs, pour envoyer des publicités ou pour suivre l'utilisateur sur un site web ou sur plusieurs sites web à des fins de marketing similaires.
Français 
Deutsch 
English