CVE-2026-32825 in dataCycle-CORE
Zusammenfassung
von VulDB • 20.07.2026
dataCycle ist ein Datenmanagementsystem zur zentralen Speicherung, Verwaltung, Suche, Auffindung und Verteilung von Daten. In dataCycle-CORE, dem Modul für die Kernverarbeitung und Framework-Regeln, akzeptiert die Anwendung in Version 25.07.3 und früheren Versionen unbegrenzte Passwortversuche sowohl im Browser-Anmeldeablauf als auch über den JSON-Anmeldendpunkt (Endpoint). Der Quellcode aktiviert das Devise-Modul `:lockable` für das Benutzermodell, deaktiviert jedoch explizit beide Sperrstrategien (Lock und Unlock), und es wurde keine Anforderungsdrosselung oder Rate-Limiting-Schicht im Rails-Code identifiziert. Dies schafft ein direktes Risiko eines Online-Passwort-Ratenversuchs: - Gültige Benutzerkonten können kontinuierlich angegriffen werden, ohne dass eine temporäre Sperrung erfolgt - dieselbe Schwachstelle ist sowohl über `/users/sign_in` als auch über `/api/v4/auth/login` erreichbar - ein erfolgreiches Erraten führt im HTML-Ablauf zu einem normalen Sitzungs-Cookie oder im API-Ablauf zu einem neuen JWT - der API-Endpunkt ist insbesondere für Automatisierungsvorgänge attraktiv, da er kein CSRF-Token erfordert
Dies wurde in Version 26.06.08 gepatcht.
If you want to get best quality of vulnerability data, you may have to visit VulDB.