CVE-2026-32823 in dataCycle-CORE
الملخص
بحسب VulDB • 22/07/2026
dataCycle هو نظام لإدارة البيانات مخصص للتخزين المركزي، وإدارة، والبحث عن، واكتشاف، وتوزيع البيانات. في dataCycle-CORE، الوحدة المسؤولة عن المعالجة الأساسية وقواعد الإطار البرمجي، وفي الإصدارات السابقة لـ 25.07.3 وشاملة لها، تعرض التطبيق تغييرات حالة الخادم عبر مسارات `GET`. ونظراً لأن المتصفحات ترسل ملفات تعريف الارتباط (Cookies) تلقائياً أثناء التنقل من المستوى الأعلى ضمن نفس الموقع، ولا تطبق Rails حماية CSRF على طلبات `GET`، يمكن لمهاجم إجبار ضحية مسجلة الدخول إلى تعديل حالة التطبيق عن طريق تضمين رابط أو صورة أو إطار مضمن (iframe) أو إعادة توجيه نحو أحد هذه النقاط النهائية. وقد تم تأكيد ذلك على الهدف باستخدام حساب "Standard" عادي: حيث أدى إجراء GET من نوع cross-site-style إلى `watch_lists/:id/add_item?thing_id=...` إلى إدراج محتوى في قائمة المراقبة دون الحاجة إلى رمز CSRF. توجد مسارات إضافية لتعديل الحالة عبر طلبات GET في قاعدة الشفرة البرمجية، بما في ذلك انتحال هوية المستخدمين للمشرفين المصرح لهم وتغيير حالة التخزين المؤقت أو الترجمة. تم إصلاح هذا الخلل في الإصدار 26.06.08.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.