CVE-2026-19803: RCE in Printcart Store per WooCommerce

La vulnerabilità CVE-2026-19803 è un arbitrary file upload non autenticato nel plugin Printcart Store per WooCommerce. Un handler AJAX accetta un parametro controllato dall'attaccante, lo concatena senza validazione alla directory uploads di WordPress, e lo scrive su disco senza controlli. Un attaccante non autenticato può scrivere file arbitrari fuori dalla cartella uploads, raggiungendo l'esecuzione di codice remoto quando il file viene richiesto. Il plugin è installato su migliaia di e-commerce WordPress in produzione.

CVSS 9,8 (Critical). La vulnerabilità è stata pubblicata il 2026-11-07 sulla NVD ed è immediatamente discussa su X con 3 post nelle ultime 24 ore. Non è ancora disponibile una patch ufficiale dal vendor. La falla è sfruttabile solo se il sito usa il popup di caricamento avanzato, ma il nonce necessario per lo sfruttamento è stampato pubblicamente sulla pagina di caricamento frontend, rendendolo trivialmente ottenibile da qualsiasi visitatore anonimo una volta attivata tale configurazione.

Verificare immediatamente se Printcart Store è installato e quale versione è in uso. Se è presente la versione 2.13.2 o precedente, controllare se il popup di caricamento avanzato è abilitato nel database WordPress. Se abilitato, il sito è vulnerabile e richiede azione urgente. In attesa di patch ufficiale dal vendor: disabilitare il popup di caricamento avanzato, limitare l'accesso via WAF, monitorare i log di accesso nella cartella uploads e directory adiacenti, isolare il sito fino a disponibilità della correzione.