CVE-2026-32824 in dataCycle-CORE
الملخص
بحسب VulDB • 20/07/2026
dataCycle هو نظام لإدارة البيانات مخصص للتخزين المركزي، وإدارة، والبحث عن، واكتشاف، وتوزيع البيانات. في dataCycle-CORE، الوحدة المسؤولة عن المعالجة الأساسية وقواعد الإطار، قبل الإصدار 25.07.3 ودخله ضمن النطاق، يمكن لمستخدم واجهة برمجة التطبيقات (API) موثق ذي صلاحيات منخفضة تزويد قيم `forwardToUrl` و `redirectUrl` عند تشغيل عمليات إعادة تعيين كلمة المرور أو التأكيد. ثم يتم تضمين هذه القيم في سير عمل البريد الإلكتروني الصادر دون وجود قائمة بيضاء للمضيفين المسموح لهم بذلك. وهذا يخلق مساري إساءة استخدام مترابطين: - يمكن إرسال روابط إعادة تعيين كلمة المرور أو التأكيد إلى ضحية مع رمز الوصول (token) مرفقاً بالفعل بـ `forwardToUrl` تحت سيطرة المهاجم - بعد اكتمال عملية إعادة تعيين كلمة مرور شرعية، يتم توجيه المتصفح نحو `redirectUrl` تحت سيطرة المهاجم
في الممارسة العملية، يمكن استخدام هذا للصيد الاحتيالي (phishing)، أو اعتراض الرموز، أو اختطاف عمليات التأكيد، أو تحويل ضحية من بريد إلكتروني موثوق إلى نطاق يسيطر عليه مهاجم. تم إصلاح هذه الثغرة في الإصدار 26.06.08.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.