CVE-2026-32825 in dataCycle-CORE
Riassunto
di VulDB • 20/07/2026
dataCycle è un sistema di gestione dei dati per l'archiviazione centralizzata, la gestione, la ricerca, il reperimento e la distribuzione dei dati. In dataCycle-CORE, il modulo che gestisce le elaborazioni core e le regole del framework, fino alla versione 25.07.3 inclusa, l'applicazione accetta un numero illimitato di tentativi di password sia nel flusso di accesso tramite browser che nell'endpoint JSON per l'autenticazione. Il codice sorgente abilita il modulo `:lockable` di Devise sul modello utente ma disabilita esplicitamente entrambe le strategie di blocco e sblocco, ed è stato identificato alcun livello di limitazione delle richieste (throttling) o dei tassi di accesso (rate-limiting) nel codice Rails. Ciò crea un rischio diretto di attacco online tramite password guessing: - gli account utente validi possono essere attaccati in modo continuo senza subire blocchi temporanei - la stessa vulnerabilità è raggiungibile sia attraverso `/users/sign_in` che attraverso `/api/v4/auth/login` - il successo del guessing produce un normale cookie di sessione nel flusso HTML o un nuovo JWT (JSON Web Token) nel flusso API - l'endpoint API è particolarmente attraente per l'automazione poiché non richiede alcun token CSRF
Questo problema è stato risolto nella versione 26.06.08.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.