Kritieke Printcart Store-kwetsbaarheid maakt overname van WooCommerce-webshops mogelijk
Printcart Store kwetsbaarheid CVE-2026-93388 is een kritiek beveiligingslek in de WooCommerce-plugin Printcart Store. De kwetsbaarheid heeft een CVSS-score van 9.8 en maakt het onder bepaalde omstandigheden mogelijk om zonder authenticatie kwaadaardige PHP-bestanden naar de webserver te uploaden. Wanneer deze bestanden kunnen worden uitgevoerd, kan een aanvaller de volledige WordPress-installatie compromitteren. Alle versies tot en met 2.9.1 zijn kwetsbaar. De ontwikkelaar heeft het beveiligingsprobleem verholpen in versie 2.9.2.
Het beveiligingslek is geregistreerd als CVE-2026-93388 en heeft een CVSS-score van 9.8.
De kwetsbaarheid kan leiden tot remote code execution wanneer een aanvaller erin slaagt een kwaadaardig PHP-bestand te plaatsen op een locatie waar de webserver dit bestand kan uitvoeren.
Wat is Printcart Store?
Printcart Store is een WooCommerce-plugin waarmee webshops gepersonaliseerde producten kunnen aanbieden.
Klanten kunnen via een online ontwerptool bijvoorbeeld afbeeldingen, teksten en ontwerpen toevoegen aan producten zoals kleding, drukwerk en promotieartikelen.
De plugin ondersteunt het verwerken en importeren van afbeeldingsbestanden en andere ontwerpbestanden.
Juist in deze functionaliteit is een ernstig beveiligingsprobleem ontdekt.
Wat is CVE-2026-93388?
Volgens Wordfence bevindt de kwetsbaarheid zich in de verwerking van externe afbeeldingsbestanden.
De betrokken functie nbdesigner_copy_image_from_url kan ook door niet-aangemelde bezoekers worden aangeroepen.
Bij een specifieke verwerkingsroute voor Google Drive-bestanden werd onvoldoende gecontroleerd of een opgegeven bestandsnaam veilig was.
Daardoor kon een aanvaller onder de beschreven omstandigheden een bestand met een gevaarlijke extensie laten opslaan.
De bestanden konden terechtkomen in de volgende directory:
wp-content/uploads/nbdesigner/temp/
Wanneer PHP-uitvoering in deze directory is toegestaan, kan een geüpload kwaadaardig PHP-bestand worden uitgevoerd.
Hierdoor kan een aanvaller mogelijk controle krijgen over de WordPress-installatie en toegang verkrijgen tot gegevens die voor het webserverproces beschikbaar zijn.
Welke versies zijn getroffen?
- Plugin: Printcart Store – Web to Print Product Designer for WooCommerce
- CVE: CVE-2026-93388
- CVSS-score: 9.8
- Ernst: Kritiek
- Kwetsbare versies: 2.9.1 en ouder
- Veilige versie: 2.9.2 en nieuwer
- Publicatiedatum: 13 oktober 2026
De ontwikkelaar heeft op 28 september 2026 versie 2.9.2 uitgebracht met aanvullende beveiligingscontroles voor externe afbeeldingsimports.
Ook zijn er maatregelen toegevoegd om het uitvoeren van scripts vanuit de tijdelijke artwork-directory te beperken.
Hoe ernstig is de Printcart Store kwetsbaarheid?
De Printcart Store kwetsbaarheid vormt een ernstig beveiligingsrisico voor WooCommerce-webshops die gebruikmaken van de online productontwerper.
Het beveiligingsprobleem maakt misbruik mogelijk van de functionaliteit waarmee externe afbeeldingen worden geïmporteerd. Wanneer onvoldoende wordt gecontroleerd welke bestanden worden opgeslagen, kan een aanvaller proberen uitvoerbare PHP-bestanden op de server te plaatsen.
De gevolgen zijn afhankelijk van de webserverconfiguratie. Wanneer PHP-uitvoering in de betreffende uploaddirectory is toegestaan, kan een aanvaller mogelijk schadelijke code uitvoeren met de rechten van het PHP-proces.
Voor webshops kan dit leiden tot ongeautoriseerde wijzigingen aan producten, websitebestanden of configuratiegegevens. Ook kunnen gevoelige gegevens toegankelijk worden voor aanvallers.
Een belangrijke aanvullende beveiligingsmaatregel is het blokkeren van PHP-uitvoering binnen WordPress-uploaddirectories. Dit moet op webserverniveau worden afgedwongen en mag niet uitsluitend afhankelijk zijn van de beveiligingsmaatregelen van een WordPress-plugin.
Vservs adviseert beheerders om naast het installeren van versie 2.9.2 ook de webserverconfiguratie en bestaande bestanden in de tijdelijke afbeeldingsdirectory te controleren.
Extra aandacht voor Nginx-webservers
De ontwikkelaar vermeldt expliciet dat de in versie 2.9.2 toegevoegde bescherming voor de tijdelijke artwork-directory gericht is op Apache-compatibele webservers.
Voor Nginx-omgevingen moet equivalent gedrag via de webserverconfiguratie worden afgedwongen.
Hostingbeheerders moeten daarom controleren of PHP-uitvoering vanuit de betreffende uploads-directory daadwerkelijk onmogelijk is.
Het uitsluitend vertrouwen op configuratiebestanden zoals .htaccess is bij een zelfstandige Nginx-configuratie onvoldoende.
Wordt de kwetsbaarheid actief misbruikt?
De technische kwetsbaarheid is publiekelijk gedocumenteerd door Wordfence.
Op 15 oktober 2026 is er geen voldoende onderbouwde publieke bevestiging gevonden dat CVE-2026-93388 momenteel op grote schaal actief wordt misbruikt.
Omdat de kwetsbaarheid potentieel kan leiden tot het uitvoeren van kwaadaardige code, adviseren wij getroffen webshops de beschikbare update onmiddellijk te installeren.
Wat moeten WooCommerce-beheerders doen?
- Controleer of Printcart Store is geïnstalleerd.
- Werk de plugin bij naar versie 2.9.2 of nieuwer.
- Onderzoek de directory
wp-content/uploads/nbdesigner/temp/op onbekende PHP-bestanden. - Controleer of uitvoerbare scripts vanuit WordPress-uploaddirectories worden geblokkeerd.
- Controleer webserverlogs op ongebruikelijke verzoeken naar de betrokken bestandsimportfunctionaliteit.
- Controleer WordPress op onbekende administratoraccounts en onverwachte bestandswijzigingen.
- Voer bij aanwijzingen voor compromittering een volledig beveiligingsonderzoek uit.
Houd er rekening mee dat het installeren van een beveiligingsupdate eventuele eerder geplaatste malware niet automatisch verwijdert.
Managed VPS Hosting bij Vservs
De beveiliging van een WooCommerce-webshop is afhankelijk van zowel de gebruikte software als de configuratie van de webserver.
Vservs biedt Managed VPS-oplossingen met serverbeheer, monitoring, beveiligingsupdates en ondersteuning bij het veilig configureren van hostingomgevingen.
Bekijk onze Managed VPS Hosting-oplossingen voor zakelijke WordPress-websites en WooCommerce-webshops.
Conclusie
CVE-2026-93388 is een kritieke kwetsbaarheid in Printcart Store voor WooCommerce.
Het beveiligingslek kan onder bepaalde omstandigheden worden gebruikt voor het uploaden en uitvoeren van kwaadaardige PHP-bestanden.
Beheerders moeten versie 2.9.2 of nieuwer installeren en controleren of hun webserverconfiguratie voldoende bescherming biedt tegen scriptuitvoering in uploaddirectories.