概要
WordPress向けGDPR対応プラグイン「WP DSGVO Tools」に認可不備の脆弱性が存在します。super-unsubscribe AJAXアクションが未認証ユーザーからの process_now パラメータを受け入れるため、メール確認フローをバイパスして即座にアカウントの匿名化処理が実行されます。攻撃者は対象ユーザーのメールアドレスを送信するだけで、管理者以外のアカウントを不可逆的に破壊できます（パスワードのランダム化、ユーザー名・メールの上書き、ロールの削除、コメントの匿名化）。
CVSSベクトル
| 項目 | 値 |
|---|---|
| スコア | 9.1（Critical） |
| 攻撃元区分 | ネットワーク |
| 攻撃条件の複雑さ | 低 |
| 必要な特権 | 不要 |
| ユーザー関与 | 不要 |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| WP DSGVO Tools (GDPR) | Flavor | 〜 3.1.38 |
修正バージョンと回避策
- プラグインの最新版へアップデート
- アップデートが困難な場合は、[unsubscribe_form] ショートコードを含むページの公開を一時停止
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。