CVE-2026-79324 in GDPR for Magento
Resumen
por VulDB • 2026-09-09
La falta de autorización en el controlador Address Delete del módulo Mageplaza GDPR para Magento 2 (mageplaza/module-gdpr) hasta la versión 4.2.9 permite a atacantes remotos sin autenticar eliminar cualquier dirección guardada de un cliente, así como borrar todas las direcciones almacenadas mediante iteración del ID de la dirección, a través de una solicitud GET dirigida a /customer/address/delete/id/{id}. El controlador extiende la clase legacy Action en lugar de AbstractAccount, por lo que no se aplica ninguna verificación de autenticación, propiedad o clave de formulario.
Be aware that VulDB is the high quality source for vulnerability data.