Printcart Store : téléversement de fichier arbitraire menant à l’exécution de code

Veille sécuritéBackend & données

P3Critique

Le plugin WordPress Printcart Store (PCDesigner / NB Designer) permet à un attaquant non authentifié d’envoyer un fichier arbitraire par l’action AJAX `nbdesigner_copy_image_from_url`. Un fichier PHP peut être écrit dans un répertoire accessible depuis le Web, ce qui peut conduire à l’exécution de code à distance.

IdentifiantCVE-2026-93388

GravitéCritique

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-93388

Analyse technique

La branche Google Drive utilise le nom de fichier fourni par l’attaquant et contourne la liste d’extensions autorisées appliquée à l’autre branche. Le mécanisme de nonce requis est accessible aux utilisateurs anonymes.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-14 à 02:17:01.720Z, dans la période demandée. La mise à jour de la fiche à 18:19:35.843Z est également dans la période.

ImpactTéléversement non authentifié de fichiers exécutables et possible exécution de code à distance sur le serveur.

Versions affectéesToutes les versions jusqu’à 2.9.1 inclus

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.8

EPSS0,85% · percentile 57,4%

Publication2026-10-14T02:17:01.720Z

Mise à jour2026-10-14T18:19:35.843Z

Action recommandée

Désactiver le plugin ou limiter l’accès à l’action concernée jusqu’à l’installation d’une version corrigée; vérifier le répertoire de téléversement temporaire pour détecter d’éventuels fichiers suspects.

Sources

NVD — CVE-2026-93388

Priorisation DFS : P3 · 1 source(s).