CVE-2026-32823 in dataCycle-CORE
要約
〜によって VulDB • 2026年07月20日
dataCycleは、データを中央で保存、管理、検索、発見、および配布するためのデータ管理システムです。コア処理とフレームワークルールを扱うモジュールである dataCycle-CORE では、バージョン 25.07.3 以前において、アプリケーションが `GET` ルートを通じてサーバー側の状態変更を公開しています。ブラウザは同じサイト上のトップレベルナビゲーションで自動的にクッキーを送信し、Rails は `GET` リクエストに対して CSRF（クロスサイトリクエストフォージェリ）保護を適用しないため、攻撃者はこれらのエンドポイントのいずれかへのリンク、画像、iframe、またはリダイレクトを埋め込むことで、ログイン中の被害者にアプリケーションの状態を変更させることができます。これは標準的な `Standard` アカウントを使用して対象で確認されました：`watch_lists/:id/add_item?thing_id=...` に対するクロスサイトスタイルの `GET` リクエストにより、CSRF トークンなしでウォッチリストにコンテンツが挿入されました。コードベースには他にも状態変更を行う `GET` ルートが存在し、認証済み管理者によるユーザーなりすましや、キャッシュまたは翻訳の状態変更などが含まれます。この問題はバージョン 26.06.08 で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.