Le module Printcart Store, utilisé par des boutiques en ligne bâties sur WordPress et WooCommerce, est affecté par une faille jugée critique : 9,8 sur 10 selon la fiche publiée le 7 novembre 2026 par la NVD, le répertoire public de vulnérabilités du NIST, aux États-Unis. Si ce module est installé chez vous, nous recommandons d’en faire vérifier rapidement la version et le réglage de téléversement avancé.
C’est quoi ?
Dans certaines configurations, un visiteur du site, sans compte ni mot de passe, pourrait déposer un fichier de son choix sur le serveur de la boutique et y faire exécuter ses propres instructions.
Une boutique de produits personnalisés accepte des fichiers de ses clients, par exemple un logo à imprimer sur un chandail. On appelle téléversement le fait d’envoyer un fichier vers un site, et serveur l’ordinateur qui héberge ce site et exécute ses programmes. Normalement, le site seul décide où ranger le fichier reçu et sous quelle forme. Ici, c’est un peu comme un dépanneur qui laisserait le livreur choisir où déposer ses boîtes, y compris derrière le comptoir. Le fichier peut alors aboutir ailleurs que dans la pièce prévue, et le serveur peut le traiter comme une instruction à exécuter plutôt que comme une image. C’est ce qu’on appelle l’exécution de code à distance.
Pourquoi c’est grave ?
La faille est notée 9,8 sur 10 selon la fiche NVD, score attribué par l’organisme déclarant (CNA). Aucune exploitation n’est signalée à ce jour dans cette fiche.
Rien n’indique donc qu’une attaque ait été constatée, et la fiche ne mentionne pas de preuve de concept publique, c’est-à-dire une démonstration technique diffusée montrant que la faille fonctionne. Ce qui pèse lourd, c’est le reste : aucun mot de passe n’est requis et le résultat possible est la prise de contrôle du site. Pour une organisation du Québec ou du Canada, cela signifie une boutique hors service, des pages de paiement susceptibles d’être détournées et des renseignements personnels de clients exposés. Au Québec, la Loi sur la protection des renseignements personnels dans le secteur privé impose de tenir un registre des incidents de confidentialité. Dans certains cas, elle oblige aussi à informer la Commission d’accès à l’information et les personnes concernées. Nous y voyons un dossier de direction, pas un ticket informatique.
Ça touche qui ?
Toutes les versions du module jusqu’à la 2.13.2 incluse, et uniquement si un réglage optionnel, inactif par défaut, a été mis en mode avancé.
Le produit visé est Printcart Store – Web to Print Product Designer pour WooCommerce, de l’éditeur printcart. La fiche NVD ne précise pas de version corrigée. Ce module sert à concevoir et à commander des produits personnalisés en ligne. Des commerces de détail, des entreprises d’articles promotionnels ou des ateliers de sur mesure comptent parmi ses utilisateurs possibles, sans que les fiches consultées indiquent de répartition par secteur. Une fois l’option avancée active, toujours selon la fiche, les conditions nécessaires sont faciles à réunir pour un visiteur anonyme.
Comment vérifier dans mon entreprise ?
Il s’agit de savoir si le module est présent, dans quelle version, et si le réglage avancé est actif.
- Faire établir la liste des extensions installées et la version exacte du module Printcart, à comparer avec la 2.13.2 (prestataire informatique ou développeur du site).
- Faire confirmer si le mode avancé de téléversement est activé (fournisseur du logiciel ou développeur du site).
Mise en situation
Exemple fictif : une petite boutique de vêtements personnalisés qui utilise ce module avec le mode avancé activé.
L’entreprise vend en ligne des chandails brodés. Le module de personnalisation a été installé il y a deux ans, et le mode avancé activé à l’époque pour simplifier l’envoi des logos. Un matin, les pages affichent du contenu étranger et le formulaire de commande ne répond plus. Le fournisseur met le site hors ligne. Résultat : une journée de ventes perdue, des commandes décalées à l’atelier, des clients à rappeler et les coordonnées stockées dans le site à vérifier.
Quoi faire maintenant
- Faire une sauvegarde complète du site et vérifier qu’elle peut vraiment être restaurée.
- Désactiver l’option de téléversement avancé si elle est active, en attendant une version corrigée.
- Faire revoir les journaux du serveur, c’est-à-dire les fichiers où l’ordinateur hébergeant le site consigne automatiquement les visites et les opérations, pour y repérer toute anomalie.
- Installer la version corrigée dès que l’éditeur en publie une, après l’avoir confirmée dans sa documentation officielle.
FAQ
Faut-il fermer notre boutique en ligne tout de suite ?
Pas nécessairement. Commencez par savoir si le module est installé et si ce réglage est actif : la fiche NVD indique que la faille n’est exploitable que dans cette configuration. S’il est actif et qu’aucune version corrigée n’est disponible, nous jugeons sa désactivation avec votre prestataire préférable à une fermeture complète.
Comment savoir si notre site a déjà été touché ?
Seule une vérification technique peut l’indiquer. Demandez à la personne qui gère votre site d’examiner les dossiers où arrivent les fichiers reçus et de revoir les journaux du serveur. Aucune inspection ne donne de certitude : il n’existe pas de protection absolue, et méfiez-vous de tout discours qui promet un risque zéro. En cas de doute sur des renseignements personnels, documentez l’événement dans votre registre d’incidents.
Sommes-nous trop petits pour intéresser un attaquant ?
La taille n’est pas une protection. De manière générale, des outils automatisés parcourent le Web pour repérer les sites qui utilisent un module vulnérable, sans viser d’organisation en particulier. Ce contexte général ne décrit pas cette vulnérabilité, dont la fiche NVD ne signale aucune exploitation à ce jour. Le Centre canadien pour la cybersécurité publie des contrôles de base destinés aux petites et moyennes organisations, et les appliquer réduit fortement l’exposition.
Sources
- Fiche CVE-2026-19803 de la National Vulnerability Database · NIST, 7 novembre 2026
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- Commission d’accès à l’information du Québec · obligations, registre des incidents et notification
Source : NVD (NIST) · https://nvd.nist.gov/vuln/detail/CVE-2026-19803
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
