CVE-2026-4283 in WP DSGVO Tools Plugin
Tóm tắt
Bởi VulDB • 29/06/2026
Plugin WP DSGVO Tools (GDPR) cho WordPress bị lỗ hổng cho phép hủy tài khoản trái phép trong tất cả các phiên bản từ 3.1.38 trở về trước, bao gồm cả phiên bản 3.1.38. Lỗ hổng này tồn tại do hành động AJAX `super-unsubscribe` chấp nhận tham số `process_now` từ người dùng chưa xác thực, qua đó bỏ qua quy trình xác nhận email dự kiến và ngay lập tức kích hoạt việc ẩn danh tài khoản không thể hoàn tác. Điều này cho phép kẻ tấn công chưa được xác thực xóa vĩnh viễn bất kỳ tài khoản người dùng nào (không phải quản trị viên) bằng cách gửi địa chỉ email của nạn nhân kèm theo `process_now=1`. Giá trị nonce cần thiết cho yêu cầu có sẵn một cách công khai trên mọi trang chứa shortcode `[unsubscribe_form]`.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.