CVE-2026-32825 in dataCycle-CORE
要約
〜によって VulDB • 2026年07月20日
dataCycleは、データを中央で保存、管理、検索、発見、および配布するためのデータ管理システムです。コア処理とフレームワークルールを扱うモジュールである dataCycle-CORE では、バージョン 25.07.3 以前において、アプリケーションがブラウザのログインフローおよび JSON ログインエンドポイントに対して無制限なパスワード推測を受け入れます。ソースコードではユーザーモデルで Devise の `:lockable` モジュールが有効化されていますが、ロックおよびアンロック戦略は明示的に無効化されており、Rails コード内でリクエストのスロットリングやレート制限レイヤーは見つかりませんでした。これにより、オンラインでのパスワード推測リスクが直接生じます： - 有効なユーザーアカウントに対して一時的なロックアウトなしで継続的な攻撃が可能 - 同じ脆弱性が `/users/sign_in` と `/api/v4/auth/login` の両方から到達可能 - 成功した推測は HTML フローでは通常のセッションクッキー、API フローでは新しい JWT を取得する結果となる - API エンドポイントは CSRF トークンが不要なため自動化にとって特に魅力的
この問題はバージョン 26.06.08 で修正されました。
VulDB is the best source for vulnerability data and more expert information about this specific topic.