CVE-2026-9725: Kritisk fejl i Printcart-plugin
Sårbarhed i Printcart-plugin til WooCommerce lader uautoriserede angribere slette filer på serveren. Opdatér pluginet.
Hvad er det?
CVE-2026-9725 er en sårbarhed i WordPress-pluginet Printcart Web to Print Product Designer for WooCommerce, som webshops bruger til at lade kunder designe egne printprodukter. Fejlen er af typen path traversal, hvor en angriber kan manipulere en filsti til at pege uden for de mapper, pluginet er tiltænkt at arbejde i. Funktionen store_design_data() bygger en filsti ud fra brugerens eget input uden at fjerne tegn, der kan lede stien andre steder hen. Samtidig kan den sikkerhedsnøgle (nonce), der normalt skal beskytte funktionen, hentes frit uden login via et andet endpoint i pluginet. Kombinationen gør, at en angriber uden brugerkonto kan bede serveren om at slette filer efter eget valg.
Hvem rammer det?
Alle danske virksomheder, der driver en WooCommerce-webshop med pluginet Printcart Web to Print Product Designer installeret i version 2.5.2 eller ældre. Det gælder typisk mindre og mellemstore virksomheder, der sælger produkter med kundetilpasset print, tryk eller design, og som bruger pluginet til at lade kunder uploade eller designe deres eget layout.
Hvad kan ske?
En angriber kan slette centrale filer på webshoppen uden at logge ind. Slettes for eksempel konfigurationsfilen wp-config.php, går siden i stå og kan i visse tilfælde tvinges gennem WordPress’ opsætningsguide igen, hvilket kan give en angriber mulighed for at overtage siden helt og i sidste ende køre egen kode på serveren. For en webshop betyder det nedetid, tabt omsætning og risiko for, at bestillinger og kundedata i systemet bliver utilgængelige.
Hvor alvorligt er det?
CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver ikke login (PR:N), ingen handling fra en bruger (UI:N) og kan udføres direkte over internettet (AV:N) med lav teknisk kompleksitet. Fortrolighed er ikke direkte i fare, men integritet og tilgængelighed rammes hårdt, fordi angriberen kan slette filer og bringe siden ned. Der er ingen offentlig oplysning om, at sårbarheden aktivt bliver udnyttet på tidspunktet for offentliggørelsen, men den lave kompleksitet gør den let at automatisere.
Hvad gør jeg nu?
Følg punkterne i denne rækkefølge:
- Opdatér pluginet Printcart Web to Print Product Designer for WooCommerce til den nyeste version, så snart en rettet udgave er tilgængelig fra udbyderen.
- Kan opdatering ikke ske med det samme, så deaktivér pluginet helt, indtil det er opdateret.
- Gennemgå serverens logfiler for usædvanlige forespørgsler til nbd_save_customer_design eller nbd_check_use_logged_in, som kan tyde på allerede foretagne angreb.
- Tag en frisk backup af webshoppens filer og database, hvis I ikke allerede har automatisk backup.
- Kontrollér, at centrale filer som wp-config.php stadig findes og er intakte.
- Søg hjælp udefra, hvis I finder tegn på filsletning, eller hvis I ikke selv kan afgøre, om jeres installation er ramt.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer pluginet med det samme, da sårbarheden kan udnyttes uden login og med lav teknisk indsats. Kan opdatering ikke ske hurtigt, bør pluginet deaktiveres, indtil en rettet version er installeret. Det er ikke forsvarligt at vente til en fast opdateringscyklus, da angrebet ikke kræver, at nogen klikker på noget eller logger ind.
Tidslinje
Konkrete eksempler
Webshop med kundetilpasset print går ned
En dansk virksomhed sælger t-shirts og krus med eget print via en WooCommerce-webshop med Printcart-pluginet installeret. En angriber sender en forespørgsel, der udnytter sårbarheden, og sletter konfigurationsfilen wp-config.php. Webshoppen går ned og viser WordPress’ opsætningsguide til alle besøgende, hvilket stopper salget, indtil it-afdelingen genskaber siden fra backup.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-9725?
I er ramt, hvis jeres WooCommerce-webshop bruger pluginet Printcart Web to Print Product Designer i version 2.5.2 eller tidligere. Tjek pluginversionen under Plugins i jeres WordPress-administration.
Hvordan tjekker vi, hvilken version af pluginet vi kører?
Log ind i WordPress-administrationen, gå til menupunktet Plugins, og find Printcart Web to Print Product Designer for WooCommerce i listen. Versionsnummeret står under pluginets navn.
Kan vi vente til weekenden med at opdatere?
Det bør I ikke. Angrebet kræver ikke login og kan udføres automatisk af scripts, så risikoen for at blive ramt stiger for hver dag, sårbarheden er åben.
Kræver angrebet, at nogen er logget ind på webshoppen?
Nej. Angriberen kan hente den nødvendige sikkerhedsnøgle uden login via et separat endpoint i pluginet og derefter udføre filsletningen uden brugerkonto.
Hvad gør vi, hvis filer allerede er blevet slettet?
Genskab siden fra en frisk backup, opdatér eller deaktivér pluginet, og undersøg logfiler for at afklare, hvilke filer der er ramt, og hvornår angrebet skete.
Skal vi anmelde dette til Datatilsynet?
Sårbarheden går ikke direkte ud over fortrolige data, men medfører risiko for datatab og nedetid. Har angrebet ført til tab af persondata, skal I vurdere jeres anmeldelsespligt efter databeskyttelsesreglerne som ved enhver anden sikkerhedshændelse.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Printcart Web to Print Product Designer for WooCommerce plugin for WordPress is vulnerable to Arbitrary File Deletion in versions up to, and including, 2.5.2 This is due to insufficient path validation in the store_design_data() function, which constructs a filesystem path from the user-supplied ‘nbd_item_key’ POST parameter sanitized only with sanitize_text_field() — which does not strip path traversal sequences — and then passes that path directly to Nbdesigner_IO::delete_folder() and PHP’s rename(). The nonce protecting the nbd_save_customer_design AJAX action is freely obtainable by unauthenticated users via the nbd_check_use_logged_in endpoint. This makes it possible for unauthenticated attackers to delete arbitrary files on the affected site’s server which may make remote code execution possible.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.