Saltar al contenido

Radar en marcha

Bastion/Radar

[■] Expediente CVE-2026-19803

Hay corrección

CVE-2026-19803: inyección de código en Printcart Store – Web to Print Product Designer for WooCommerce

Inyección de código en Printcart Store – Web to Print Product Designer for WooCommerce, de gravedad crítica (9,8 sobre 10). Se puede atacar a distancia, sin credenciales y sin que la víctima haga nada. Hay versión corregida.

CVSS 3.1
9,8
Crítica
Explotación
No confirmada
sin entrada en CISA KEV
EPSS 30 d
1,0 %
probabilidad de explotación
Corrección
2.13.3
la más reciente
Publicada
6 nov. 2026
modificada el 7 nov. 2026

También conocida como 2525ed97-b701-4f95-8d8c-202e816723c5

[■] Explicado

Printcart Store permite subir archivos PHP si está activo el modo de carga avanzada

Printcart Store hasta la versión 2.13.2 puede permitir que una persona sin cuenta suba un archivo PHP y ejecute código en el servidor, si está activado el modo de carga avanzada. Actualiza el plugin a la versión 2.13.3 o posterior.

Para todos

Qué es

Un fallo en la función de recorte de imágenes del plugin permite que alguien sin cuenta manipule la ruta donde se guarda un archivo. La vulnerabilidad requiere que esté activado el modo «Advanced Upload Popup».

Qué te puede pasar

El atacante podría guardar un archivo PHP fuera de la carpeta prevista y, si después se solicita ese archivo, ejecutar código en el servidor. Actualiza el plugin aunque no hayas observado señales de ataque.

Fuentes [S2]

Para técnicos

Cómo funciona

El problema está en el controlador AJAX nbu_crop_image: concatena el parámetro url con la ruta base de subidas sin eliminar secuencias ../, y deriva la ruta y la extensión del archivo de ese dato. La explotación no requiere iniciar sesión, pero depende de que la opción nbdesigner_upload_popup_style tenga el valor a, que registra la acción para visitantes anónimos. El nonce save-design puede obtenerse desde la página pública upload-design-file. La ficha describe la escritura de contenido PHP en rutas arbitrarias y la ejecución al solicitar el archivo.

Desde dónde
Por red (Internet)
Qué necesita
Ninguna cuenta
Interacción
No hace falta que nadie haga nada
Impacto
Puede comprometer la confidencialidad, la integridad y la disponibilidad del servidor, al permitir ejecutar código PHP en él.

Fuentes [S2]

Explotación

Sin constancia de explotación

Las fuentes consultadas describen la vulnerabilidad y su corrección, pero no indican que se esté explotando ni que haya una prueba pública.

Fuentes [S2] [S3]

Qué hacer

  1. 01

    Hoy · WordPress

    Actualiza Printcart Store a la versión 2.13.3 o posterior. La página del plugin muestra la versión 2.13.6 en su historial de cambios.

    Fuentes [S2] [S3]

Cómo saber si te afecta

  • Comprueba la versión instalada: las versiones hasta la 2.13.2 incluida están afectadas. La condición de exposición descrita por Wordfence es que nbdesigner_upload_popup_style esté configurada como a (modo «Advanced Upload Popup»).

    Fuentes [S2]

Preguntas frecuentes

¿Qué versiones de Printcart Store están afectadas por CVE-2026-19803?

Todas las versiones hasta la 2.13.2 incluida. La ficha de Wordfence indica como corregida la 2.13.3.

Fuentes [S2]

¿Puede explotarse sin una cuenta de WordPress?

Sí, si está activado el modo «Advanced Upload Popup». La vulnerabilidad permite peticiones de visitantes sin iniciar sesión.

Fuentes [S2]

¿Qué versión corrige CVE-2026-19803 en Printcart Store?

La versión 2.13.3 o posterior.

Fuentes [S2] [S3]

¿Hay constancia de explotación activa?

Las fuentes consultadas no indican explotación activa ni una prueba pública.

Fuentes [S2] [S3]

Glosario

PHP
Lenguaje de programación que puede ejecutarse en el servidor para generar páginas y gestionar funciones de una web.
AJAX
Mecanismo que permite a una página web enviar peticiones al servidor sin recargar toda la página.
Nonce
Valor temporal que WordPress usa para comprobar que una petición está relacionada con una acción válida.
Secuencia `../`
Parte de una ruta que indica subir un nivel de carpeta; si no se controla, puede permitir salir de la carpeta prevista.

De dónde sale cada dato

Cada afirmación lleva su llamada ([S1], [S2]…) a una de estas fuentes. No reproducimos su texto: lo hemos leído, contrastado y contado con nuestras palabras.

  1. S1
    Ficha de CVE-2026-19803 en Bastion Radar

    Identificación del expediente y versiones afectadas y corregida comunicadas por el radar.

    Bastion Radar Bastion Radar · bastionradar.com

  2. S2
    Aviso de CVE-2026-19803 para Printcart Store

    Versiones afectadas y corregida, causa, condición de explotación y datos disponibles sobre explotación.

    Wordfence Intelligence (Defiant) Base de vulnerabilidades · wordfence.com

  3. S3
    Página y registro de cambios de Printcart Store

    Registro oficial del plugin: la versión 2.13.3 incluye endurecimiento de seguridad y la página muestra versiones posteriores.

    WordPress.org / Printcart Fabricante · wordpress.org

  4. S4
    Perfil del desarrollador de Printcart en WordPress.org

    Confirma el envío de la versión 2.13.3 del plugin al repositorio de WordPress.org.

    WordPress.org Fabricante · profiles.wordpress.org

Redactado por Bastion Radar con ayuda de un modelo de lenguaje a partir de los datos del radar y de las fuentes citadas, que el modelo consultó. Después se comprueba afirmación por afirmación y sólo se publica si todo cuadra. Cómo funciona.

Incluye información de vulnerabilidades de Wordfence Intelligence. Copyright Defiant Inc., bajo licencia de Defiant.

CVE® es una marca registrada de The MITRE Corporation. Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy.

[A] Comprobación

¿Me afecta?

Escribe tu versión y te decimos si cae en alguno de los tramos afectados. No se guarda nada.

Mi versión de Printcart Store – Web to Print Product Designer for WooCommerce

Versiones afectadas de Printcart Store – Web to Print Product Designer for WooCommerce

1 tramo · según Wordfence Intelligence (Defiant)

  • todas las anteriores hasta la 2.13.2 2.13.3

[B] Qué hacer

¿Cómo lo soluciono?

  1. 01

    Actualiza Printcart Store – Web to Print Product Designer for WooCommerce a la 2.13.3 o posterior.

    Es la corrección más reciente que dan las fuentes.

  2. 02

    Que no te pille la próxima.

    Añade Printcart Store – Web to Print Product Designer for WooCommerce a Mi stack y tendrás a mano lo que salga de lo que usas.

[C] Cronología

Qué ha pasado

  1. 6 nov. 2026 T0

    Se publica la vulnerabilidad

    según Wordfence Intelligence (Defiant)

  2. 7 nov. 2026 T0

    Hay una versión corregida

    según Wordfence Intelligence (Defiant)

[D] Trazabilidad

Fuentes

Incluye información de vulnerabilidades de Wordfence Intelligence. Copyright Defiant Inc., bajo licencia de Defiant.

CVE® es una marca registrada de The MITRE Corporation. Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy.

Datos reinterpretados por Bastion Radar a partir de las fuentes citadas. Fuentes y licencias.