CVE-2026-32820
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
W systemie dataCycle-CORE przed wersją 25.07.3 moduł renderowania dokumentacji i statycznych plików Markdown nieprawidłowo obsługuje ścieżki kontrolowane przez atakującego. Atakujący bez uwierzytelnienia może wykorzystać sekwencje przejścia do katalogu nadrzędnego (directory traversal) i odczytać dowolne pliki .md spoza zamierzonych katalogów docs lub static.
Ocena ryzyka
Ryzyko polega na możliwości odczytu poufnych plików konfiguracyjnych lub danych aplikacji, które mogą być przechowywane w formacie Markdown w katalogu głównym aplikacji lub silnika. Może to prowadzić do wycieku informacji wrażliwych.
Rekomendacja
Należy niezwłocznie zaktualizować system dataCycle-CORE do wersji 26.06.08 lub nowszej, która zawiera poprawkę usuwającą podatność na przejście do katalogu nadrzędnego.
Inne podatności w dataCycle-CORE
Zobacz wszystkie- CVE-2026-32825Wysokie
W systemie dataCycle-CORE przed wersją 25.07.3 brak ograniczeń liczby prób logowania zarówno przez przeglądarkę, jak i API. Funkcja blokowania konta jest wyłączona, a żądania nie są ograniczane czasowo, co umożliwia atakującemu ciągłe odgadywanie haseł.
- CVE-2026-32824Wysokie
W systemie dataCycle-CORE przed wersją 25.07.3 uwierzytelniony użytkownik API o niskich uprawnieniach może podać własne adresy URL w procesie resetowania hasła lub potwierdzania konta. Te adresy są osadzane w wiadomościach e-mail bez weryfikacji dozwolonych hostów.
- CVE-2026-32823Średnie
W systemie dataCycle-CORE przed wersją 26.06.08, aplikacja ujawnia zmiany stanu serwera przez żądania `GET`. Ponieważ przeglądarki automatycznie wysyłają ciasteczka przy nawigacji same-site, a Rails nie stosuje ochrony CSRF dla `GET`, atakujący może zmusić zalogowanego użytkownika do modyfikacji stanu aplikacji poprzez osadzenie linku, obrazka, iframe lub przekierowania do jednego z tych endpointów.
- CVE-2026-32821Wysokie
W systemie dataCycle-CORE przed wersją 25.07.3 uwierzytelniony użytkownik API może użyć swojego tokena dostępu, aby zapytać API kolekcji o uprawnienia innego użytkownika, podając jego adres e-mail. Jeśli docelowy użytkownik posiada kolekcje, mogą one zostać ujawnione. W V4 znana kolekcja może być modyfikowana przez dodawanie/usuwanie elementów bez odpowiedniej autoryzacji.
- CVE-2026-32819Średnie
W systemie dataCycle-CORE przed wersją 25.07.3 standardowy użytkownik może wyliczać nazwy i adresy e-mail innych użytkowników poprzez endpoint /users/search, mimo że bezpośredni dostęp do profili jest zabroniony.
- CVE-2026-32806Wysokie
Podatność w dataCycle-CORE przed wersją 26.06.08 (w tym 25.07.3). Endpoint /remote_render nie ogranicza, które partiale mogą być renderowane, co pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na dostęp do treści administracyjnych renderowanych po stronie serwera.
- CVE-2026-32822Średnie
Podatność Reflected DOM XSS w dataCycle-CORE przed wersją 25.07.3. Nieuwierzytelniony atakujący może umieścić dowolny HTML w powiadomieniach flash na publicznych trasach, a komponent toast wstrzykuje tę treść do DOM za pomocą innerHTML, co pozwala na wykonanie skryptu po kliknięciu spreparowanego linku.
- CVE-2026-32807Wysokie
Podatność w dataCycle-CORE przed wersją 26.06.08 (w tym 25.07.3). Każdy, kto posiada UUID linku DataLink, może pobrać załączony plik tekstowy, nawet jeśli link wygasł, użytkownik jest nieuwierzytelniony lub normalny przepływ by go zablokował.
Oryginalny opis (angielski, źródło NVD)
dataCycle is a data management system for centrally storing, managing, searching, finding, and distributing data. In dataCycle-CORE, the module handling core processing and framework rules, before and including version 25.07.3, the documentation and static markdown renderer accepts attacker-controlled path segments and only runs them through the Rails HTML sanitizer, which does not remove directory traversal sequences. An unauthenticated attacker can traverse out of the intended `docs` or `static` directories and render arbitrary `.md` files from the application root or engine root. This is patched in version 26.06.08.