CVE-2026-79324
Təsvir
Magento 2 üçün Mageplaza GDPR (mageplaza/module-gdpr) modulunun 4.2.9 versiyasına qədər olan versiyalarında Address Delete kontrollerində avtorizasiyanın olmaması, uzaqdakı autentifikasiya olunmamış hücumçulara /customer/address/delete/id/{id} ünvanına GET sorğusu göndərməklə hər hansı müştərinin yadda saxlanılmış ünvanını silməyə və ünvan ID-lərini ardıcıl dəyişdirərək bütün saxlanılan ünvanları təmizləməyə imkan verir. Kontroller AbstractAccount əvəzinə köhnə Action sinfini genişləndirdiyi üçün heç bir autentifikasiya, mülkiyyət və ya forma açarı (form key) yoxlaması tətbiq edilmir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mageplaza gdpr | v ≤ 4.2.9 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.