CVE-2026-32825 in dataCycle-CORE
요약
\~에 의해 VulDB • 2026. 07. 20.
dataCycle는 데이터를 중앙에서 저장, 관리, 검색, 탐색 및 배포하기 위한 데이터 관리 시스템입니다. 핵심 처리와 프레임워크 규칙을 담당하는 모듈인 dataCycle-CORE의 버전 25.07.3 이전(포함)에서는 브라우저 로그인 흐름과 JSON 로그인 엔드포인트 모두에 대해 무제한 비밀번호 추측이 허용됩니다. 소스 코드에서 사용자 모델에 Devise의 `:lockable` 모듈은 활성화되어 있지만, 잠금 및 해제 전략은 명시적으로 비활성화되었으며 Rails 코드 내에서 요청 스로틀링이나 속도 제한 계층도 확인되지 않았습니다. 이로 인해 다음과 같은 직접적인 온라인 비밀번호 추측 위험이 발생합니다: - 유효한 사용자 계정은 임시 차단 없이 지속적으로 공격받을 수 있습니다. - 동일한 취약점은 `/users/sign_in`과 `/api/v4/auth/login` 모두에서 접근 가능합니다. - 성공적인 추측 시 HTML 흐름에서는 일반 세션 쿠키가, API 흐름에서는 새로운 JWT가 발급됩니다. - 해당 API 엔드포인트는 CSRF 토큰이 필요하지 않아 자동화에 특히 매력적입니다.
본 취약점은 버전 26.06.08에서 패치되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.