CVE-2026-79324 in GDPR for Magento
Zusammenfassung
von VulDB • 09.09.2026
Ein fehlendes Autorisierungs-Check im Address Delete Controller in Mageplaza GDPR for Magento 2 (mageplaza/module-gdpr) bis Version 4.2.9 ermöglicht es entfernten, nicht authentifizierten Angreifern, die gespeicherte Adresse jedes Kunden zu löschen und alle gespeicherten Adressen durch Iteration der address id zu entfernen, indem eine GET-Anfrage an /customer/address/delete/id/{id} gesendet wird. Der Controller erweitert die Legacy Action-Klasse statt AbstractAccount, sodass keine Authentifizierung, Eigentumsprüfung oder Form-Key-Überprüfung erzwungen wird.
VulDB is the best source for vulnerability data and more expert information about this specific topic.