WooCommerce向けプラグイン「Printcart Store」に、第三者が不正なファイルをアップロードできる重大な脆弱性が報告されました。2026年10月13日に公開されたCVE-2026-93388は、CVSS 9.8と評価されています。バージョン2.9.1以前が対象です。Wordfence
Printcart Storeとは？
Printcart Storeは、WooCommerceでオリジナル商品を販売するためのデザイン機能を提供するプラグインです。購入者が商品の色やデザインを変更したり、画像や文字を配置したりできます。例えば、オリジナルTシャツ、名刺、印刷物、ノベルティグッズなどの受注販売に利用できます。
印刷用のPDFや画像ファイルを生成できるため、注文から製造までの作業を効率化できる点が特徴です。
2026年10月13日時点の有効インストール数は70以上です。
今回の脆弱性について
今回の問題は、外部の画像を取り込む処理に関係しています。
Google Driveから画像を取り込む機能において、ファイル名などの検証が不十分だったため、第三者がPHPファイルをサーバーへ保存できる可能性があります。
悪用された場合、サーバー上で不正なプログラムを実行され、サイトの改ざんや情報漏えいにつながるおそれがあります。
確認と対策
バージョン2.9.2で修正されています。現在はさらに新しい2.13.2が公開されています。対象バージョンを使用している場合は、速やかに更新してください。
更新後は、商品のデザイン機能、画像アップロード、注文処理が正常に動作するか確認しましょう。
なお、更新しただけでは、すでに侵入されたサイトの復旧にはなりません。
不審なファイルが作成されていないか、管理者アカウントが追加されていないかなども確認することをおすすめします。
商品デザインやファイルアップロードを扱うプラグインでは、外部から受け取るファイルの検証が重要です。
利用サイト数が比較的少なくても、深刻な脆弱性が存在する可能性があります。
公式情報： WordPress.org — Printcart Store
脆弱性情報： Wordfence — CVE-2026-93388