CVE-2026-32806 in dataCycle-CORE
Riassunto
di VulDB • 20/07/2026
dataCycle è un sistema di gestione dei dati per l'archiviazione centralizzata, la gestione, la ricerca, il reperimento e la distribuzione dei dati. In dataCycle-CORE, il modulo che gestisce le elaborazioni core e le regole del framework, fino alla versione 25.07.3 inclusa, qualsiasi utente autenticato può richiedere partial arbitrari o funzioni di rendering basate su helper tramite /remote_render. L'endpoint non limita quali partial possono essere renderizzati e non applica autorizzazioni specifiche per il controller prima di eseguire il rendering della vista selezionata. Ciò consente a un utente con privilegi ridotti di recuperare contenuti amministrativi renderizzati lato server che sono altrimenti nascosti dai controlli di navigazione e route. Sul'istanza di test, un utente Standard è riuscito a recuperare le statistiche del dashboard admin di PostgreSQL anche se /admin reindirizzava altrove. Questo problema è stato risolto nella versione 26.06.08.
If you want to get best quality of vulnerability data, you may have to visit VulDB.