CVE-2026-32825 in dataCycle-CORE
الملخص
بحسب VulDB • 21/07/2026
dataCycle هو نظام لإدارة البيانات مخصص للتخزين المركزي، وإدارة، والبحث عن، واكتشاف، وتوزيع البيانات. في dataCycle-CORE، الوحدة المسؤولة عن المعالجة الأساسية وقواعد الإطار البرمجي (framework)، وفي الإصدارات السابقة لـ 25.07.3 وشاملة لها، تقبل التطبيق محاولات غير محدودة لتخمين كلمات المرور سواء عبر تدفق تسجيل الدخول المتصفح أو نقطة نهاية JSON الخاصة بتسجيل الدخول. يتيح الكود المصدري وحدة `:lockable` في Devise على نموذج المستخدم (user model)، لكنه يعطل صراحةً كلًا من استراتيجيتي القفل والفتح، ولم يتم تحديد أي طبقة لتقييد معدل الطلبات (rate-limiting) أو تخفيف الحمل (throttling) ضمن كود Rails. يخلق هذا خطرًا مباشرًا للهجوم بتخمين كلمات المرور عبر الإنترنت: - يمكن مهاجمة حسابات المستخدمين الصالحة بشكل مستمر دون تعرضها للحظر المؤقت - نفس الضعف قابل للوصول من خلال كلٍ من `/users/sign_in` و `/api/v4/auth/login` - يؤدي التخمين الناجح إلى الحصول على ملف تعريف ارتباط (cookie) لجلسة عمل عادية في التدفق القائم على HTML، أو رمز JWT جديد في تدفق واجهة برمجة التطبيقات (API) - تعد نقطة نهاية API جذابة بشكل خاص للأتمتة لأنها لا تتطلب رمز CSRF
تم إصلاح هذا الخلل في الإصدار 26.06.08.
If you want to get best quality of vulnerability data, you may have to visit VulDB.