WordPress 用 Printcart Store プラグインで、認証なしで任意の場所に PHP ファイルを書き込まれリモートコード実行の恐れ（CVE-2026-19803・2.13.2 以前・高度なアップロード画面の設定時）

WordPress 用プラグイン Printcart Store – Web to Print Product Designer for WooCommerce に、認証なしで、アップロード先の外へ任意の内容のファイルを書き込める脆弱性（CVE-2026-19803）が登録されました。書かれたファイルが PHP なら、後からそのファイルを開かれたときにリモートコード実行に至る恐れがあります。CVSS v3.1 は 9.8（CRITICAL）。対象は 2.13.2 以前のすべての版です。ただし、「高度なアップロードのポップアップ」を有効にしたサイトだけが悪用できると記載されています。修正版の番号は未確認です。

内容

NVD に登録された CVE の記述（2026-11-07 公開。登録元は Wordfence）では、原因は次のとおりです。

• 画像切り抜きの AJAX 処理（nbu_crop_image）が、利用者から渡される url を受け取ります。
• Nbdesigner_IO::convert_url_to_path() が、その値をアップロード先ディレクトリの後ろに、../ を取り除かずにつなげます。
• 出力先のディレクトリと拡張子を、同じ攻撃者指定のパスから求めます。画像として書き出す前の無害化（stripImage()）も呼ばれません。
• その結果、認証なしの攻撃者が、アップロード先の外の任意の場所へ攻撃者の内容（PHP を含む）を書き込めます。

成立条件: サイトオプション nbdesigner_upload_popup_style が a（高度なアップロードのポップアップ）のときだけ、この処理が未認証の要求にも登録されます。必要な nonce（save-design）は、誰でも見られる公開ページ（upload-design-file）に出力されるため、この設定が有効なら匿名の訪問者でも入手できる、と記載されています。

攻撃の手順の詳細や、実際の被害は公表されていません。本稿は公開情報を読んだだけで、再現はしていません。手順は載せません。

評価

指標	値
CVSS v3.1（Wordfence の登録・NVD 上は Primary）	9.8 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE	CWE-94（コードの生成の不備）
NVD 登録	2026-11-07（状態は「Deferred」で、NVD 自身の評価は未実施）
EPSS（FIRST・11/7 時点）	値なし（未算出）
CISA KEV	掲載は確認できず（11/7 取得）

認証が不要でネットワークから攻撃でき、評価も 9.0 以上のため、当サイトの基準で severity 案は critical とします。ただし、悪用には上記の設定が前提です。

影響を受ける版と対処

• 影響: 2.13.2 以前のすべての版（WordPress.org の公開名 printcart-integration）。
• 対処: WordPress.org の公開版は 2.13.6（2026-10-26 更新）です。2.13.3 以降のどの版でこの問題が直ったかは、公式の勧告やリリースノートで確認できておらず、未確認です。
• 緩和策の公表は確認できていません。

利用者が考えられること

1. サイトに Printcart Store を入れているか、版を確認します（2.13.2 以前が対象）。
2. 設定で「高度なアップロードのポップアップ」を使っているか確認します。使っていなければ、記述上、この経路は未認証では登録されません（効果は未確認）。
3. 公開版（2.13.6）へ更新する、または、当面使わないなら無効化することを検討します。
4. アップロード先（wp-content/uploads）やその外に、身に覚えのない PHP ファイルがないか確認します。

未確認の点

• 修正が入った版、提供元の勧告・リリースノート。
• 悪用の有無、公開された攻撃コード（CISA KEV に掲載は確認できず）。
• 2.13.3〜2.13.6 が影響を受けるか。
• NVD 自身の評価、利用規模。