V
Сканер-ВС
ENRU
ГлавнаяКаталогИсточникиCWECAPECATT&CKМеры защитыПродуктыВендорыДокументация
←К каталогу
CVE-2026-4283
ANC
Критический

Плагин WP DSGVO Tools (GDPR) для WordPress уязвим для несанкционированного уничтожения учетной записи во всех версиях до 3.1.38. Это связан…

CVSS
9.1
Критический
EPSS
0.00
p34
Опубликовано
2026-01-01
Обновлено
2026-01-01
Описание

Плагин WP DSGVO Tools (GDPR) для WordPress уязвим для несанкционированного уничтожения учетной записи во всех версиях до 3.1.38. Это связано с действием «супер-отписаться» AJAX, принимающего параметр `process_now` от неаутентованных пользователей, который обходит предполагаемый поток подтверждения электронной почты и немедленно вызывает необратимую анонимность учетной записи. Это позволяет неаутентичным злоумышленникам навсегда уничтожить любую учетную запись пользователя, не являющуюся администратором (пароль рандомизирована, имя пользователя / электронная почта, снятые роли, анонимные комментарии, конфиденциальные пользовательские мета, удаленные) путем отправки адреса электронной почты жертвы с `process_now=1`. Некография, необходимая для запроса, находится в открытом доступе на любой странице, содержащей шорткод `[unsubscribe_form]`.

Теги · CWE
Без аутентификации
CWE-862
CAPEC-665
Затронутые продукты
Вектор CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
Хронология
2026-01-01
Опубликована
2026-01-01
Обновлена
Разбор CVSS 3.1
Вектор атаки
AV: N
Сеть (N)
Сложность атаки
AC: L
Низкая (L)
Требуемые привилегии
PR: N
Отсутствуют (N)
Взаимодействие с пользователем
UI: N
Отсутствует (N)
Область воздействия
S: U
Неизменная (U)
Воздействие на конфиденциальность
C: N
Отсутствует (N)
Воздействие на целостность
I: H
Высокое (H)
Воздействие на доступность
A: H
Высокое (H)
Индикаторы эксплуатации
EPSS
0.004 · p34
Известна эксплуатация (KEV)
Нет
MITRE ATT&CK
Выводимые через CAPEC
└ через CAPEC-665 · CWE-862
└ через CAPEC-665 · CWE-862
└ через CAPEC-665 · CWE-862
Проверки Сканер-ВС
Проверок Сканер-ВС для этой уязвимости в базе пока нет.
Затронутые продукты
Legalweb
Wp Dsgvo Tools
Shapepress
Wp Dsgvo Tools
ПродуктВендорСтатус
Отслеживается
Источники данных
ANC
Внешние ссылки
https://plugins.trac.wordpress.org/browser/shapepress-dsgvo/tags/3.1.38/includes/class-sp-dsgvo-ajax-action.php#L69@https://plugins.trac.wordpress.org/browser/shapepress-dsgvo/tags/3.1.38/includes/class-sp-dsgvo-data-collecter.php#L250@https://plugins.trac.wordpress.org/browser/shapepress-dsgvo/tags/3.1.38/includes/models/unsubscriber.php#L24@https://plugins.trac.wordpress.org/browser/shapepress-dsgvo/tags/3.1.38/public/shortcodes/super-unsubscribe/unsubscribe-form-action.php#L39@https://plugins.trac.wordpress.org/browser/shapepress-dsgvo/trunk/public/shortcodes/super-unsubscribe/unsubscribe-form-action.php#L39@https://plugins.trac.wordpress.org/changeset?old_path=/shapepress-dsgvo/tags/3.1.38&new_path=/shapepress-dsgvo/tags/3.1.39@https://www.wordfence.com/threat-intel/vulnerabilities/id/21389122-cb39-45d1-a889-b830d3a55603?source=cve