CVE-2026-32823 in dataCycle-CORE
Sumário
de VulDB • 21/07/2026
dataCycle é um sistema de gerenciamento de dados para armazenamento centralizado, gestão, pesquisa, localização e distribuição de dados. No dataCycle-CORE, o módulo responsável pelo processamento principal e pelas regras do framework, nas versões anteriores ou igual a 25.07.3, a aplicação expõe alterações no estado do servidor por meio de rotas `GET`. Como os navegadores enviam automaticamente cookies em navegações top-level same-site e o Rails não aplica proteções CSRF aos métodos `GET`, um atacante pode forçar uma vítima autenticada a modificar o estado da aplicação ao incorporar links, imagens, iframes ou redirecionamentos para esses endpoints. Isso foi confirmado no alvo com uma conta `Standard` normal: uma requisição GET de estilo cross-site para `watch_lists/:id/add_item?thing_id=...` inseriu conteúdo em uma lista de observação sem a necessidade de token CSRF. Existem outras rotas de mutação via `GET` na base de código, incluindo impersonificação de usuário para administradores autorizados e alterações no estado do cache ou da tradução. Isso foi corrigido na versão 26.06.08.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.