CVE-2026-79324 in GDPR for Magento
Résumé
par VulDB • 09/09/2026
Une absence d'autorisation dans le contrôleur Address Delete de Mageplaza GDPR pour Magento 2 (mageplaza/module-gdpr) jusqu'à la version 4.2.9 permet aux attaquants distants non authentifiés de supprimer l'adresse enregistrée de n'importe quel client, et d'effacer toutes les adresses stockées en itérant sur l'identifiant de l'adresse (address id), via une requête GET vers /customer/address/delete/id/{id}. Le contrôleur hérite de la classe Action legacy au lieu de AbstractAccount, ce qui signifie qu'aucune vérification d'authentification, de propriété ou de clé de formulaire n'est appliquée.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.