CVE-2026-32821
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W systemie dataCycle-CORE przed wersją 25.07.3 uwierzytelniony użytkownik API może użyć swojego tokena dostępu, aby zapytać API kolekcji o uprawnienia innego użytkownika, podając jego adres e-mail. Jeśli docelowy użytkownik posiada kolekcje, mogą one zostać ujawnione. W V4 znana kolekcja może być modyfikowana przez dodawanie/usuwanie elementów bez odpowiedniej autoryzacji.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany dostęp do kolekcji danych innych użytkowników oraz na nieuprawnioną modyfikację tych kolekcji, co może prowadzić do wycieku lub utraty integralności danych.
Rekomendacja
Należy niezwłocznie zaktualizować system dataCycle-CORE do wersji 26.06.08 lub nowszej, która zawiera poprawkę usuwającą tę podatność.
Inne podatności w dataCycle-CORE
Zobacz wszystkie- CVE-2026-32825Wysokie
W systemie dataCycle-CORE przed wersją 25.07.3 brak ograniczeń liczby prób logowania zarówno przez przeglądarkę, jak i API. Funkcja blokowania konta jest wyłączona, a żądania nie są ograniczane czasowo, co umożliwia atakującemu ciągłe odgadywanie haseł.
- CVE-2026-32824Wysokie
W systemie dataCycle-CORE przed wersją 25.07.3 uwierzytelniony użytkownik API o niskich uprawnieniach może podać własne adresy URL w procesie resetowania hasła lub potwierdzania konta. Te adresy są osadzane w wiadomościach e-mail bez weryfikacji dozwolonych hostów.
- CVE-2026-32823Średnie
W systemie dataCycle-CORE przed wersją 26.06.08, aplikacja ujawnia zmiany stanu serwera przez żądania `GET`. Ponieważ przeglądarki automatycznie wysyłają ciasteczka przy nawigacji same-site, a Rails nie stosuje ochrony CSRF dla `GET`, atakujący może zmusić zalogowanego użytkownika do modyfikacji stanu aplikacji poprzez osadzenie linku, obrazka, iframe lub przekierowania do jednego z tych endpointów.
- CVE-2026-32820Wysokie
W systemie dataCycle-CORE przed wersją 25.07.3 moduł renderowania dokumentacji i statycznych plików Markdown nieprawidłowo obsługuje ścieżki kontrolowane przez atakującego. Atakujący bez uwierzytelnienia może wykorzystać sekwencje przejścia do katalogu nadrzędnego (directory traversal) i odczytać dowolne pliki .md spoza zamierzonych katalogów docs lub static.
- CVE-2026-32819Średnie
W systemie dataCycle-CORE przed wersją 25.07.3 standardowy użytkownik może wyliczać nazwy i adresy e-mail innych użytkowników poprzez endpoint /users/search, mimo że bezpośredni dostęp do profili jest zabroniony.
- CVE-2026-32806Wysokie
Podatność w dataCycle-CORE przed wersją 26.06.08 (w tym 25.07.3). Endpoint /remote_render nie ogranicza, które partiale mogą być renderowane, co pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na dostęp do treści administracyjnych renderowanych po stronie serwera.
- CVE-2026-32822Średnie
Podatność Reflected DOM XSS w dataCycle-CORE przed wersją 25.07.3. Nieuwierzytelniony atakujący może umieścić dowolny HTML w powiadomieniach flash na publicznych trasach, a komponent toast wstrzykuje tę treść do DOM za pomocą innerHTML, co pozwala na wykonanie skryptu po kliknięciu spreparowanego linku.
- CVE-2026-32807Wysokie
Podatność w dataCycle-CORE przed wersją 26.06.08 (w tym 25.07.3). Każdy, kto posiada UUID linku DataLink, może pobrać załączony plik tekstowy, nawet jeśli link wygasł, użytkownik jest nieuwierzytelniony lub normalny przepływ by go zablokował.
Oryginalny opis (angielski, źródło NVD)
dataCycle is a data management system for centrally storing, managing, searching, finding, and distributing data. In dataCycle-CORE, the module handling core processing and framework rules, before and including version 25.07.3, any authenticated API user who has their own access token can ask the collection API to evaluate permissions as a different user by supplying `user_email`. If the target user has collections, this can expose those collections through the API. In V4, once a collection id is known, the same controller also offers `add_item` and `remove_item` routes without any object-level `authorize!` checks, creating a likely cross-user modification path. This is patched in version 26.06.08.