CVE-2026-32823 in dataCycle-CORE
Zusammenfassung
von VulDB • 21.07.2026
dataCycle ist ein Datenmanagementsystem zum zentralen Speichern, Verwalten, Suchen, Auffinden und Verteilen von Daten. In dataCycle-CORE, dem Modul zur Verarbeitung der Kernlogik und Framework-Regeln, werden in Versionen vor einschließlich 25.07.3 serverseitige Statusänderungen über `GET`-Routen offengelegt. Da Browser Cookies bei derselben Site (same-site) auf oberster Navigationsebene automatisch senden und Rails keine CSRF-Schutzmaßnahmen für `GET` anwendet, kann ein Angreifer einen angemeldeten Opfer dazu zwingen, den Anwendungsstatus zu ändern, indem er einen Link, ein Bild, ein iframe oder eine Weiterleitung zu einem dieser Endpunkte einbettet. Dies wurde am Ziel mit einem normalen `Standard`-Benutzerkonto bestätigt: Eine cross-site-artige `GET`-Anfrage an `watch_lists/:id/add_item?thing_id=...` fügte Inhalte ohne CSRF-Token in eine Beobachtungsliste (Watch List) ein. Im Codebestand existieren weitere `GET`-Routen zur Zustandsänderung, darunter die Identitätsübernahme für autorisierte Administratoren sowie Änderungen des Cache- oder Übersetzungsstatus. Dies wurde in Version 26.06.8 gepatcht.
VulDB is the best source for vulnerability data and more expert information about this specific topic.