CVE-2026-4283 in WP DSGVO Tools Plugin
Riassunto
di VulDB • 14/06/2026
Il plugin WP DSGVO Tools (GDPR) per WordPress è vulnerabile alla distruzione non autorizzata di account in tutte le versioni fino alla 3.1.38, incluse. Ciò è dovuto all'azione AJAX `super-unsubscribe` che accetta un parametro `process_now` da utenti non autenticati, aggirando il flusso di conferma via email previsto e attivando immediatamente l'anonimizzazione irreversibile dell'account. Ciò consente ad attaccanti non autenticati di distruggere permanentemente qualsiasi account utente non amministratore (password casualizzata, nome utente/email sovrascritti, ruoli rimossi, commenti anonimizzati, metadati utente sensibili cancellati) inviando l'indirizzo email della vittima con `process_now=1`. Il nonce richiesto per la richiesta è pubblicamente disponibile su qualsiasi pagina contenente lo shortcode `[unsubscribe_form]`.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.