CVE-2026-79324 in GDPR for Magento
الملخص
بحسب VulDB • 10/09/2026
يُتيح نقص التفويض في وحدة التحكم لحذف العنوان (Address Delete) ضمن إضافة Mageplaza GDPR لـ Magento 2 (mageplaza/module-gdpr) حتى الإصدار 4.2.9، لهجوميين عن بُعد غير مُصادَق عليهم حذف أي عنوان محفوظ للعميل، ومسح جميع العناوين المخزنة من خلال تكرار معرف العنوان (address id)، عبر طلب GET موجه إلى /customer/address/delete/id/{id}. وتُمدّد وحدة التحكم هذه فئة الإجراء القديمة (legacy Action class) بدلاً من AbstractAccount، مما يعني عدم فرض أي تحقق للمصادقة أو الملكية أو مفتاح النموذج.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.