Printcart Store WooCommerce-Plugin: Unauthentifizierter Dateiupload führt zu RCE

Zusammenfassung

Das Plugin Printcart Store (PCDesigner / NB Designer) für WooCommerce und WordPress in den Versionen bis und mit 2.9.1 erlaubt nicht angemeldeten Benutzern, über die AJAX-Aktion nbdesigner_copy_image_from_url beliebige Dateien hochzuladen. Der Google-Drive-Zweig schreibt den vom Angreifer gelieferten Dateinamen ohne die Prüfung auf Bilderweiterungen, sodass eine PHP-Datei in einem web-zugänglichen Verzeichnis abgelegt und ausgeführt werden kann. Der erforderliche Nonce ist für anonyme Besucher verfügbar, daher ist keine Anmeldung nötig. Ein Angreifer könnte den Webserver vollständig kompromittieren und auf Kundendaten oder Zahlungsdaten zugreifen.

Betroffen

• Plugin Printcart Store (PCDesigner / NB Designer) für WordPress (Slug printcart-integration), Versionen 0 bis einschliesslich 2.9.1

Behoben in

• Version 2.9.2 oder neuer (gemäss WordPress-Changeset und Sekundärquellen; Herstellerhinweis nicht verifiziert)

Umgehung

• Plugin deaktivieren oder entfernen, falls es nicht aktualisiert werden kann.
• Zugriff auf die AJAX-Aktion nbdesigner_copy_image_from_url blockieren oder einschränken, zum Beispiel mit einer WAF-Regel.
• Ausführung von PHP-Dateien in wp-content/uploads/ blockieren.
• Verzeichnis wp-content/uploads/nbdesigner/temp/ auf unerwartete PHP-Dateien prüfen und gapi[name]-Parameter auf .php, .phtml oder .phar kontrollieren; dies kann legitime Plugin-Funktionen beeinträchtigen.

Ausnutzung

• Kein öffentlicher Proof of Concept bestätigt.
• Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog aufgeführt (nicht auf der CISA-Website verifiziert).
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
• Ob bereits Angriffe in freier Wildbahn stattgefunden haben, ist unbekannt.

Unsere Empfehlung

• Prüfen, ob das Plugin installiert ist und welche Version läuft, insbesondere auf WordPress-/WooCommerce-Websites.
• Sofort auf Version 2.9.2 oder neuer aktualisieren.
• Falls kein Update möglich ist, die oben genannten Workarounds anwenden.
• Upload-Verzeichnis, insbesondere nbdesigner/temp, auf Webshells und unerwartete PHP-Dateien prüfen und Webserver-Logs auf Anfragen an die AJAX-Aktion durchsehen.
• Zugangsdaten zurücksetzen und Zugriff auf Kundendaten prüfen, falls eine Kompromittierung vermutet wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence record www.wordfence.com
• WordPress changeset 3716244 (plugin trunk) plugins.trac.wordpress.org
• WordPress Trac comparison tags 2.9.1 to 2.9.2 plugins.trac.wordpress.org
• Ionix threat center CVE-2026-93388 www.ionix.io
• WordPress plugin page Printcart Store en-au.wordpress.org
• VULNCHECK/VulnRichment record CVE-2026-93388 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:06.