Printcart Store para WooCommerce: fallo crítico de subida de archivos

Printcart Store para WooCommerce: fallo crítico de subida de archivos

Qué es y a quién afectaEl plugin Printcart Store – Web to Print Product Designer for WooCommerce, pensado para tiendas WordPress que ofrecen diseño de...

Qué es y a quién afecta

El plugin Printcart Store – Web to Print Product Designer for WooCommerce, pensado para tiendas WordPress que ofrecen diseño de productos imprimibles, arrastra un fallo grave de seguridad identificado como CVE-2026-19803 y publicado en la NVD del NIST el 7 de noviembre de 2026. Afecta a todas las versiones hasta la 2.13.2, incluida esta.

Metáfora visual de una subida de archivos no controlada en una tienda online que acaba alcanzando el servidor

El problema es una subida arbitraria de archivos (CWE-94) con una puntuación CVSS 3.1 de 9.8, gravedad CRITICAL. En la práctica, un atacante sin autenticar puede escribir contenido PHP controlado por él en ubicaciones fuera del directorio de subidas y, cuando ese archivo se solicita después, provocar ejecución remota de código en el servidor.

La causa está en el manejador AJAX nbu_crop_image: acepta un parámetro url que la función Nbdesigner_IO::convert_url_to_path() concatena sobre el directorio base de uploads sin normalizar ni eliminar secuencias ../, y de esa misma ruta controlada por el atacante deriva tanto el directorio de salida como la extensión del archivo, sin llamar a stripImage() antes de writeImage().

Hay un matiz importante: la explotación solo es posible cuando la opción nbdesigner_upload_popup_style está configurada en «a» (Advanced Upload Popup), porque es esa configuración la que registra el manejador para peticiones no autenticadas. Además, el nonce save-design necesario se imprime en la página pública upload-design-file, así que cualquier visitante anónimo puede obtenerlo con facilidad una vez activa esa configuración.

Esto afecta de lleno a pymes y comercios online en España —Barcelona, Lleida, Tarragona, Girona o cualquier otra provincia— que hayan montado su tienda de impresión o personalización de productos sobre WordPress y WooCommerce con este plugin.

Por qué conviene actuar sin esperar

Según los datos disponibles, CVE-2026-19803 no consta en el catálogo KEV de CISA, es decir, no hay constancia pública de que se esté explotando en ataques reales. Eso no lo convierte en un problema menor: una vulnerabilidad crítica de subida de archivos con ejecución de código y explotable sin autenticar es exactamente el tipo de puerta que los atacantes buscan para tomar el control de un servidor web, inyectar contenido malicioso o desviar tráfico y datos de clientes.

Si tu tienda usa la configuración Advanced Upload Popup, la superficie expuesta es máxima: no hace falta cuenta ni credenciales, solo acceso a la web pública.

Qué hacer hoy

  • Comprueba si usas el plugin y en qué versión. Revisa el listado de plugins de tu WordPress y confirma si Printcart Store está instalado y si estás en la 2.13.2 o en una anterior.
  • Revisa la opción nbdesigner_upload_popup_style. Si está en «a», el manejador queda expuesto a peticiones no autenticadas; valora desactivar temporalmente esa modalidad mientras aplicas la corrección.
  • Aplica la actualización o mitigación que indique el aviso del fabricante. El material consultado no detalla la versión corregida, así que guíate por lo que publique el desarrollador del plugin y no por rumores.
  • Busca indicios de intrusión. Revisa archivos PHP recientes o extraños fuera del directorio de uploads, cambios no explicados en el tema o en plugins, y registros de acceso con peticiones sospechosas al manejador AJAX de recorte de imagen.
  • Reduce lo expuesto a internet. Limita el acceso al panel de administración, mantén al día el núcleo de WordPress, el tema y el resto de plugins, y asegúrate de tener copias de seguridad recientes y verificadas.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes, comercios online y equipos de IT pequeños que necesitan certezas sobre el estado real de su web. Empezamos por una auditoría de seguridad y pentesting que permita saber si el plugin está presente, cómo está configurado y si hay rastros de actividad sospechosa. A partir de ahí aplicamos hardening de servidores, reforzamos permisos y configuraciones, y establecemos monitorización y respuesta a incidentes para detectar a tiempo lo que no debería estar pasando.

También nos ocupamos del mantenimiento y actualización de WordPress, PrestaShop y Joomla, con especial atención a los parches de seguridad de plugins y temas, y de la reparación de webs hackeadas cuando el daño ya se ha producido. La clave está en cerrar las vulnerabilidades antes de que alguien las encuentre y las explote, no después.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.