---
title: "WordPress 用 Printcart Store プラグインで、認証なしで任意の場所に PHP ファイルを書き込まれリモートコード実行の恐れ（CVE-2026-19803・2.13.2 以前・高度なアップロード画面の設定時）"
url: https://n-t-p.io/worldsecurity/articles/printcart-store-nbu-crop-image-file-upload-cve-2026-19803
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 緊急
cve: CVE-2026-19803
---

# WordPress 用 Printcart Store プラグインで、認証なしで任意の場所に PHP ファイルを書き込まれリモートコード実行の恐れ（CVE-2026-19803・2.13.2 以前・高度なアップロード画面の設定時）

> **TL;DR:** Printcart Store（WordPress 用）2.13.2 以前で、「高度なアップロードのポップアップ」が有効なとき、画像切り抜き処理のパス検証不足により、認証なしの攻撃者がアップロード先の外へ PHP を書き込みリモートコード実行に至る恐れ（CVE-2026-19803・CVSS v3.1 9.8）。修正版の番号は未確認。

**要点**
- NVD は 2026-11-07、Printcart Store（WordPress 用）2.13.2 以前の CVE-2026-19803 を登録。nbu_crop_image の url に含まれる ../ が除去されず、出力先と拡張子も攻撃者指定のパスから決まり、画像の無害化もされない（CWE-94）。
- サイトオプション nbdesigner_upload_popup_style が a（高度なアップロードのポップアップ）のときだけ未認証で到達できる。必要な nonce は公開ページに出力され、匿名の訪問者でも入手できると記載。
- CVSS v3.1 は 9.8（Wordfence の登録、NVD 上は Primary）。認証不要で 9.0 以上のため severity 案は critical。EPSS は未算出、CISA KEV に掲載は確認できず。
- WordPress.org の公開版は 2.13.6 だが、どの版で修正されたかは未確認。設定の確認・更新・不審な PHP ファイルの確認を検討。本稿は公開情報の読み取りで、再現はしていない。

WordPress 用プラグイン **Printcart Store – Web to Print Product Designer for WooCommerce** に、**認証なしで、アップロード先の外へ任意の内容のファイルを書き込める**脆弱性（**CVE-2026-19803**）が登録されました。書かれたファイルが PHP なら、後からそのファイルを開かれたときにリモートコード実行に至る恐れがあります。CVSS v3.1 は **9.8**（CRITICAL）。対象は **2.13.2 以前のすべての版**です。ただし、**「高度なアップロードのポップアップ」を有効にしたサイトだけ**が悪用できると記載されています。**修正版の番号は未確認**です。

## 内容
NVD に登録された CVE の記述（2026-11-07 公開。登録元は Wordfence）では、原因は次のとおりです。

- 画像切り抜きの AJAX 処理（`nbu_crop_image`）が、利用者から渡される `url` を受け取ります。
- `Nbdesigner_IO::convert_url_to_path()` が、その値をアップロード先ディレクトリの後ろに、`../` を取り除かずにつなげます。
- 出力先のディレクトリと拡張子を、同じ攻撃者指定のパスから求めます。画像として書き出す前の無害化（`stripImage()`）も呼ばれません。
- その結果、認証なしの攻撃者が、アップロード先の外の任意の場所へ攻撃者の内容（PHP を含む）を書き込めます。

**成立条件**: サイトオプション `nbdesigner_upload_popup_style` が `a`（高度なアップロードのポップアップ）のときだけ、この処理が未認証の要求にも登録されます。必要な nonce（`save-design`）は、誰でも見られる公開ページ（upload-design-file）に出力されるため、この設定が有効なら匿名の訪問者でも入手できる、と記載されています。

攻撃の手順の詳細や、実際の被害は公表されていません。本稿は公開情報を読んだだけで、再現はしていません。手順は載せません。

## 評価
| 指標 | 値 |
|---|---|
| CVSS v3.1（Wordfence の登録・NVD 上は Primary） | **9.8** `AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H` |
| CWE | CWE-94（コードの生成の不備） |
| NVD 登録 | 2026-11-07（状態は「Deferred」で、NVD 自身の評価は未実施） |
| EPSS（FIRST・11/7 時点） | 値なし（未算出） |
| CISA KEV | 掲載は確認できず（11/7 取得） |

認証が不要でネットワークから攻撃でき、評価も 9.0 以上のため、当サイトの基準で severity 案は **critical** とします。ただし、悪用には上記の設定が前提です。

## 影響を受ける版と対処
- 影響: **2.13.2 以前のすべての版**（WordPress.org の公開名 `printcart-integration`）。
- 対処: WordPress.org の公開版は **2.13.6**（2026-10-26 更新）です。2.13.3 以降のどの版でこの問題が直ったかは、**公式の勧告やリリースノートで確認できておらず、未確認**です。
- 緩和策の公表は確認できていません。

## 利用者が考えられること
1. サイトに Printcart Store を入れているか、版を確認します（2.13.2 以前が対象）。
2. 設定で「高度なアップロードのポップアップ」を使っているか確認します。使っていなければ、記述上、この経路は未認証では登録されません（効果は未確認）。
3. 公開版（2.13.6）へ更新する、または、当面使わないなら無効化することを検討します。
4. アップロード先（wp-content/uploads）やその外に、身に覚えのない PHP ファイルがないか確認します。

## 未確認の点
- 修正が入った版、提供元の勧告・リリースノート。
- 悪用の有無、公開された攻撃コード（CISA KEV に掲載は確認できず）。
- 2.13.3〜2.13.6 が影響を受けるか。
- NVD 自身の評価、利用規模。


## 出典
- [NVD CVE-2026-19803](https://nvd.nist.gov/vuln/detail/CVE-2026-19803) — NIST NVD
- [Wordfence: Printcart Store 脆弱性（CVE の参照先）](https://www.wordfence.com/threat-intel/vulnerabilities/id/2525ed97-b701-4f95-8d8c-202e816723c5?source=cve) — Wordfence
- [WordPress.org プラグイン Printcart Store](https://wordpress.org/plugins/printcart-integration/) — WordPress.org
- [FIRST EPSS（CVE-2026-19803・値なし）](https://api.first.org/data/v1/epss?cve=CVE-2026-19803) — FIRST
- [CISA KEV カタログ（掲載は確認できず）](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/printcart-store-nbu-crop-image-file-upload-cve-2026-19803