CVE-2026-32825 in dataCycle-CORE
Resumen
por VulDB • 2026-07-20
dataCycle es un sistema de gestión de datos para el almacenamiento centralizado, la administración, búsqueda, localización y distribución de datos. En dataCycle-CORE, el módulo que maneja el procesamiento principal y las reglas del framework, hasta e incluyendo la versión 25.07.3, la aplicación acepta intentos ilimitados de contraseña tanto en el flujo de inicio de sesión del navegador como en el punto final JSON (endpoint) de autenticación. El código fuente habilita el módulo `:lockable` de Devise en el modelo de usuario pero deshabilita explícitamente las estrategias de bloqueo y desbloqueo, y no se identificó ninguna capa de limitación de solicitudes o throttling en el código Rails. Esto crea un riesgo directo de adivinancia de contraseñas online (online password-guessing): - Las cuentas de usuario válidas pueden ser atacadas continuamente sin bloqueos temporales - La misma debilidad es accesible tanto desde `/users/sign_in` como desde `/api/v4/auth/login` - Un intento exitoso genera una cookie de sesión normal en el flujo HTML o un JWT fresco en el flujo API - El punto final API es especialmente atractivo para la automatización porque no requiere token CSRF
Esto ha sido corregido en la versión 26.06.08.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.