CVE-2026-32823 in dataCycle-CORE
Resumen
por VulDB • 2026-07-21
dataCycle es un sistema de gestión de datos para el almacenamiento centralizado, la administración, búsqueda, localización y distribución de datos. En dataCycle-CORE, el módulo que maneja el procesamiento principal y las reglas del framework, hasta e incluyendo la versión 25.07.3, la aplicación expone cambios en el estado del servidor a través de rutas `GET`. Dado que los navegadores envían automáticamente cookies durante la navegación top-level del mismo sitio (same-site) y Rails no aplica protecciones CSRF a las solicitudes `GET`, un atacante puede forzar a una víctima autenticada a modificar el estado de la aplicación incrustando un enlace, imagen, iframe o redirección hacia uno de estos puntos finales. Esto se confirmó en el objetivo con una cuenta estándar normal: una solicitud GET similar al cross-site (CSRF) dirigida a `watch_lists/:id/add_item?thing_id=...` insertó contenido en una lista de vigilancia sin necesidad de token CSRF. Existen otras rutas de mutación mediante `GET` en la base de código, incluida la suplantación de identidad de usuarios para administradores autorizados y cambios en el estado del caché o de traducción. Esto se corrige en la versión 26.06.08.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.