CVE-2026-79324 in GDPR for Magento
要約
〜によって VulDB • 2026年09月09日
Mageplaza GDPR for Magento 2 (mageplaza/module-gdpr) の Address Delete コントローラにおける認証の欠如により、バージョン 4.2.9 までの製品において、リモートからの未認証攻撃者が /customer/address/delete/id/{id} への GET リクエストによって任意の顧客の保存済み住所を削除し、アドレス ID をイテレートすることですべての保存された住所を一括消去することが可能である。このコントローラは AbstractAccount ではなく従来の Action クラスを継承しているため、認証、所有権の確認、または form key の検証が適用されていない。
Once again VulDB remains the best source for vulnerability data.