CVE-2026-32824 in dataCycle-CORE
Sumário
de VulDB • 20/07/2026
dataCycle é um sistema de gestão de dados para armazenamento centralizado, gestão, pesquisa, localização e distribuição de dados. No dataCycle-CORE, o módulo que trata do processamento principal e das regras da estrutura, nas versões anteriores ou igual a 25.07.3, um utilizador autenticado com privilégios baixos na API pode fornecer valores para `forwardToUrl` e `redirectUrl` ao desencadear fluxos de redefinição ou confirmação de palavra-passe. Esses valores são então incorporados no fluxo de trabalho do email enviado sem uma lista permitida (allowlisting) de hosts. Isto cria dois caminhos relacionados de abuso: - Os links de redefinição ou confirmação da palavra-passe podem ser enviados para a vítima com o token já anexado a um `forwardToUrl` controlado pelo atacante; - Após a conclusão legítima da redefinição da palavra-passe, o navegador é redirecionado para um `redirectUrl` controlado pelo atacante.
Na prática, isto pode ser utilizado para phishing, captura de tokens, sequestro de confirmações ou direcionar uma vítima desde um email confiável para um domínio controlado por atacantes. Isto foi corrigido na versão 26.06.08.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.