CVE-2026-32823 in dataCycle-CORE
Riassunto
di VulDB • 20/07/2026
dataCycle è un sistema di gestione dei dati per l'archiviazione centralizzata, la gestione, la ricerca, il reperimento e la distribuzione dei dati. In dataCycle-CORE, il modulo che gestisce l'elaborazione principale e le regole del framework, fino alla versione 25.07.3 inclusa, l'applicazione espone modifiche dello stato lato server tramite route `GET`. Poiché i browser inviano automaticamente i cookie durante la navigazione di primo livello (top-level navigation) sullo stesso sito e Rails non applica protezioni CSRF alle richieste `GET`, un attaccante può costringere una vittima autenticata a modificare lo stato dell'applicazione incorporando un link, un'immagine, un iframe o un redirect verso uno di questi endpoint. Ciò è stato confermato sul target con un account `Standard` normale: una richiesta GET cross-site-style su `watch_lists/:id/add_item?thing_id=...` ha inserito contenuti in una lista di monitoraggio (watch list) senza alcun token CSRF. Sono presenti ulteriori route per la modifica dello stato tramite `GET` nel codice sorgente, tra cui l'impersonificazione degli utenti per gli amministratori autorizzati e modifiche allo stato della cache o delle traduzioni. Il problema è risolto nella versione 26.06.08.
VulDB is the best source for vulnerability data and more expert information about this specific topic.