CVE-2026-32824
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
W systemie dataCycle-CORE przed wersją 25.07.3 uwierzytelniony użytkownik API o niskich uprawnieniach może podać własne adresy URL w procesie resetowania hasła lub potwierdzania konta. Te adresy są osadzane w wiadomościach e-mail bez weryfikacji dozwolonych hostów.
Ocena ryzyka
Atakujący może wysłać ofierze link resetowania hasła z własnym tokenem, przechwycić token lub przekierować ofiarę na złośliwą stronę, co umożliwia phishing i kradzież konta.
Rekomendacja
Zaktualizuj dataCycle-CORE do wersji 26.06.08 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Inne podatności w dataCycle-CORE
Zobacz wszystkie- CVE-2026-32825Wysokie
W systemie dataCycle-CORE przed wersją 25.07.3 brak ograniczeń liczby prób logowania zarówno przez przeglądarkę, jak i API. Funkcja blokowania konta jest wyłączona, a żądania nie są ograniczane czasowo, co umożliwia atakującemu ciągłe odgadywanie haseł.
- CVE-2026-32823Średnie
W systemie dataCycle-CORE przed wersją 26.06.08, aplikacja ujawnia zmiany stanu serwera przez żądania `GET`. Ponieważ przeglądarki automatycznie wysyłają ciasteczka przy nawigacji same-site, a Rails nie stosuje ochrony CSRF dla `GET`, atakujący może zmusić zalogowanego użytkownika do modyfikacji stanu aplikacji poprzez osadzenie linku, obrazka, iframe lub przekierowania do jednego z tych endpointów.
- CVE-2026-32821Wysokie
W systemie dataCycle-CORE przed wersją 25.07.3 uwierzytelniony użytkownik API może użyć swojego tokena dostępu, aby zapytać API kolekcji o uprawnienia innego użytkownika, podając jego adres e-mail. Jeśli docelowy użytkownik posiada kolekcje, mogą one zostać ujawnione. W V4 znana kolekcja może być modyfikowana przez dodawanie/usuwanie elementów bez odpowiedniej autoryzacji.
- CVE-2026-32820Wysokie
W systemie dataCycle-CORE przed wersją 25.07.3 moduł renderowania dokumentacji i statycznych plików Markdown nieprawidłowo obsługuje ścieżki kontrolowane przez atakującego. Atakujący bez uwierzytelnienia może wykorzystać sekwencje przejścia do katalogu nadrzędnego (directory traversal) i odczytać dowolne pliki .md spoza zamierzonych katalogów docs lub static.
- CVE-2026-32819Średnie
W systemie dataCycle-CORE przed wersją 25.07.3 standardowy użytkownik może wyliczać nazwy i adresy e-mail innych użytkowników poprzez endpoint /users/search, mimo że bezpośredni dostęp do profili jest zabroniony.
- CVE-2026-32806Wysokie
Podatność w dataCycle-CORE przed wersją 26.06.08 (w tym 25.07.3). Endpoint /remote_render nie ogranicza, które partiale mogą być renderowane, co pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na dostęp do treści administracyjnych renderowanych po stronie serwera.
- CVE-2026-32822Średnie
Podatność Reflected DOM XSS w dataCycle-CORE przed wersją 25.07.3. Nieuwierzytelniony atakujący może umieścić dowolny HTML w powiadomieniach flash na publicznych trasach, a komponent toast wstrzykuje tę treść do DOM za pomocą innerHTML, co pozwala na wykonanie skryptu po kliknięciu spreparowanego linku.
- CVE-2026-32807Wysokie
Podatność w dataCycle-CORE przed wersją 26.06.08 (w tym 25.07.3). Każdy, kto posiada UUID linku DataLink, może pobrać załączony plik tekstowy, nawet jeśli link wygasł, użytkownik jest nieuwierzytelniony lub normalny przepływ by go zablokował.
Oryginalny opis (angielski, źródło NVD)
dataCycle is a data management system for centrally storing, managing, searching, finding, and distributing data. In dataCycle-CORE, the module handling core processing and framework rules, before and including version 25.07.3, a low-privileged authenticated API user can supply `forwardToUrl` and `redirectUrl` values when triggering password reset or confirmation flows. Those values are then embedded into the outgoing email workflow without host allowlisting. This creates two related abuse paths: - password reset or confirmation links can be sent to a victim with the token already attached to an attacker-controlled `forwardToUrl` - after a legitimate password reset completes, the browser is redirected to attacker-controlled `redirectUrl` In practice, this can be used for phishing, token capture, confirmation hijacking, or steering a victim from a trusted email into an attacker domain. This is patched in version 26.06.08.