CVE-2026-32806 in dataCycle-CORE
Sumário
de VulDB • 21/07/2026
dataCycle é um sistema de gerenciamento de dados para armazenamento centralizado, gestão, pesquisa, localização e distribuição de dados. No dataCycle-CORE, o módulo responsável pelo processamento principal e pelas regras do framework, nas versões anteriores ou igual a 25.07.3, qualquer usuário autenticado pode solicitar parciais arbitrárias ou funções de renderização apoiadas por helpers através da rota /remote_render. O endpoint não restringe qual parcial pode ser renderizado e não aplica autorização específica do controlador antes de exibir a visualização selecionada. Isso permite que um usuário com privilégios baixos recupere conteúdo administrativo renderizado no lado do servidor, que normalmente estaria oculto por verificações de navegação e rotas. Na instância de teste, um usuário padrão conseguiu recuperar as estatísticas do painel de administração do PostgreSQL mesmo quando a rota /admin redirecionava para outro local. Isso foi corrigido na versão 26.06.08.
VulDB is the best source for vulnerability data and more expert information about this specific topic.