Printcart Store (NB Designer) : faille critique d'envoi de fichiers sans authentification

En bref

• Produit : Printcart Store (PCDesigner / NB Designer), extension WordPress pour WooCommerce.
• Versions affectées : toutes les versions jusqu'à la 2.9.1 incluse.
• Version corrigée : non précisée par l'éditeur dans l'avis ; seule une version postérieure à la 2.9.1 peut corriger la faille.
• Sévérité : critique, score CVSS 9,8.
• CVE : CVE-2026-93388.
• Exploitation active : inconnu.
• Date de l'avis : 14 octobre 2026.

Une vulnérabilité critique a été publiée le 14 octobre 2026 dans l'extension Printcart Store, également connue sous les noms PCDesigner et NB Designer. Cette extension ajoute à une boutique WooCommerce un outil de personnalisation de produits par les clients. La faille, référencée CVE-2026-93388, permet à un visiteur anonyme d'envoyer un fichier de son choix sur le serveur, puis de le faire exécuter.

De quoi s'agit-il ?

D'après l'avis publié dans la base NVD, l'une des fonctions de récupération d'images de l'extension est accessible sans être connecté. Dans l'un de ses modes de fonctionnement, elle ne contrôle pas correctement le type du fichier enregistré : le filtre qui limite normalement les envois aux images n'y est pas appliqué. Le fichier reçu est ensuite déposé dans un répertoire accessible depuis le web, où le serveur peut l'interpréter comme un script.

Le jeton de sécurité censé protéger cette fonction est lui-même distribué aux visiteurs anonymes par l'extension. Il ne constitue donc pas une barrière. Concrètement, un attaquant sans aucun compte sur le site peut exécuter du code arbitraire sur le serveur, ce qui équivaut à une prise de contrôle complète du site : vol de la base clients et des commandes, ajout de pages malveillantes, redirections, installation d'une porte dérobée.

C'est ce cumul (aucune authentification requise, exécution de code à distance) qui explique le score CVSS de 9,8. À la date de l'avis, aucune exploitation active n'est signalée par les sources consultées, mais ce type de faille est généralement recherché rapidement par des robots automatisés.

Qui est concerné ?

Tous les sites WordPress qui utilisent l'extension Printcart Store (PCDesigner / NB Designer) dans une version inférieure ou égale à la 2.9.1. Le risque existe dès que l'extension est installée et activée, même si l'outil de personnalisation n'est proposé que sur quelques produits, puisque la fonction vulnérable est exposée à tous les visiteurs.

Les sites où l'extension est installée mais désactivée sont moins exposés, mais il reste préférable de la mettre à jour ou de la supprimer.

Que faire ?

• Vérifiez la version de l'extension installée depuis le menu Extensions de l'administration WordPress.
• Mettez à jour l'extension dès qu'une version postérieure à la 2.9.1 est disponible, en confirmant dans le journal des modifications qu'elle corrige cette faille.
• Si aucune version corrective n'est disponible ou si vous ne pouvez pas mettre à jour immédiatement, désactivez l'extension en attendant.
• Vérifiez les journaux du serveur et le répertoire des fichiers envoyés de l'extension à la recherche de fichiers inattendus, en particulier des scripts là où seules des images devraient se trouver.
• Contrôlez la liste des comptes administrateurs et les fichiers récemment modifiés.
• En cas de compromission, restaurez une sauvegarde saine antérieure à l'intrusion, appliquez la mise à jour, puis changez les mots de passe et les clés de sécurité du site.

Sources

• NVD : CVE-2026-93388 (avis officiel, base nationale des vulnérabilités du NIST)
• Wordfence Threat Intelligence : fiche de la vulnérabilité