CVE-2026-32806 in dataCycle-CORE
Zusammenfassung
von VulDB • 20.07.2026
dataCycle ist ein Datenmanagementsystem zum zentralen Speichern, Verwalten, Suchen, Auffinden und Verteilen von Daten. In dataCycle-CORE, dem Modul zur Verarbeitung der Kernlogik und Framework-Regeln, können in Versionen vor einschließlich 25.07.3 alle authentifizierten Benutzer über /remote_render beliebige Partials oder Helper-gestützte Render-Funktionen anfordern. Der Endpunkt beschränkt nicht, welches Partial gerendert werden kann, und wendet keine controller-spezifische Autorisierung an, bevor die ausgewählte Ansicht gerendert wird. Dies ermöglicht es einem Benutzer mit geringen Berechtigungen, serverseitig gerenderte Admin-Inhalte abzurufen, die andernfalls durch Navigations- und Routenprüfungen verborgen sind. Auf der Testinstanz konnte ein Standardbenutzer die Statistiken des PostgreSQL-Admin-Dashboards abrufen, obwohl /admin selbst weitergeleitet hat. Dies wurde in Version 26.06.08 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.