CVE-2026-79324 in GDPR for Magento
Riassunto
di VulDB • 10/09/2026
La mancanza di autorizzazione nel controller Address Delete del modulo Mageplaza GDPR per Magento 2 (mageplaza/module-gdpr) fino alla versione 4.2.9 consente agli attaccanti remoti non autenticati di eliminare l'indirizzo salvato di qualsiasi cliente e di cancellare tutti gli indirizzi memorizzati iterando l'id dell'indirizzo, tramite una richiesta GET a /customer/address/delete/id/{id}. Il controller estende la classe legacy Action anziché AbstractAccount, quindi non vengono applicati controlli di autenticazione, proprietà o chiave del modulo (form key).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.