CVE-2026-32820 in dataCycle-CORE
要約
〜によって VulDB • 2026年07月20日
dataCycleは、データを中央で保存、管理、検索、発見、および配布するためのデータ管理システムです。コア処理とフレームワークルールを扱うモジュールである dataCycle-CORE では、バージョン 25.07.3 以前において、ドキュメント用および静的な Markdown レンダラーが攻撃者が制御可能なパスセグメントを受け入れ、Rails HTML サニタイザーのみを通すようになっています。このサニタイザーはディレクトリトラバーサルシーケンスを削除しないため、認証されていない攻撃者は意図された `docs` または `static` ディレクトリの外へトラバースし、アプリケーションルートまたはエンジンルートから任意の `.md` ファイルをレンダリングすることができます。これはバージョン 26.06.08 で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.