CVE-2026-32825
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
W systemie dataCycle-CORE przed wersją 25.07.3 brak ograniczeń liczby prób logowania zarówno przez przeglądarkę, jak i API. Funkcja blokowania konta jest wyłączona, a żądania nie są ograniczane czasowo, co umożliwia atakującemu ciągłe odgadywanie haseł.
Ocena ryzyka
Atakujący może odgadnąć hasło użytkownika, uzyskać sesję lub token JWT i przejąć konto, co prowadzi do nieautoryzowanego dostępu do danych.
Rekomendacja
Zaktualizuj dataCycle-CORE do wersji 26.06.08 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Inne podatności w dataCycle-CORE
Zobacz wszystkie- CVE-2026-32824Wysokie
W systemie dataCycle-CORE przed wersją 25.07.3 uwierzytelniony użytkownik API o niskich uprawnieniach może podać własne adresy URL w procesie resetowania hasła lub potwierdzania konta. Te adresy są osadzane w wiadomościach e-mail bez weryfikacji dozwolonych hostów.
- CVE-2026-32823Średnie
W systemie dataCycle-CORE przed wersją 26.06.08, aplikacja ujawnia zmiany stanu serwera przez żądania `GET`. Ponieważ przeglądarki automatycznie wysyłają ciasteczka przy nawigacji same-site, a Rails nie stosuje ochrony CSRF dla `GET`, atakujący może zmusić zalogowanego użytkownika do modyfikacji stanu aplikacji poprzez osadzenie linku, obrazka, iframe lub przekierowania do jednego z tych endpointów.
- CVE-2026-32821Wysokie
W systemie dataCycle-CORE przed wersją 25.07.3 uwierzytelniony użytkownik API może użyć swojego tokena dostępu, aby zapytać API kolekcji o uprawnienia innego użytkownika, podając jego adres e-mail. Jeśli docelowy użytkownik posiada kolekcje, mogą one zostać ujawnione. W V4 znana kolekcja może być modyfikowana przez dodawanie/usuwanie elementów bez odpowiedniej autoryzacji.
- CVE-2026-32820Wysokie
W systemie dataCycle-CORE przed wersją 25.07.3 moduł renderowania dokumentacji i statycznych plików Markdown nieprawidłowo obsługuje ścieżki kontrolowane przez atakującego. Atakujący bez uwierzytelnienia może wykorzystać sekwencje przejścia do katalogu nadrzędnego (directory traversal) i odczytać dowolne pliki .md spoza zamierzonych katalogów docs lub static.
- CVE-2026-32819Średnie
W systemie dataCycle-CORE przed wersją 25.07.3 standardowy użytkownik może wyliczać nazwy i adresy e-mail innych użytkowników poprzez endpoint /users/search, mimo że bezpośredni dostęp do profili jest zabroniony.
- CVE-2026-32806Wysokie
Podatność w dataCycle-CORE przed wersją 26.06.08 (w tym 25.07.3). Endpoint /remote_render nie ogranicza, które partiale mogą być renderowane, co pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na dostęp do treści administracyjnych renderowanych po stronie serwera.
- CVE-2026-32822Średnie
Podatność Reflected DOM XSS w dataCycle-CORE przed wersją 25.07.3. Nieuwierzytelniony atakujący może umieścić dowolny HTML w powiadomieniach flash na publicznych trasach, a komponent toast wstrzykuje tę treść do DOM za pomocą innerHTML, co pozwala na wykonanie skryptu po kliknięciu spreparowanego linku.
- CVE-2026-32807Wysokie
Podatność w dataCycle-CORE przed wersją 26.06.08 (w tym 25.07.3). Każdy, kto posiada UUID linku DataLink, może pobrać załączony plik tekstowy, nawet jeśli link wygasł, użytkownik jest nieuwierzytelniony lub normalny przepływ by go zablokował.
Oryginalny opis (angielski, źródło NVD)
dataCycle is a data management system for centrally storing, managing, searching, finding, and distributing data. In dataCycle-CORE, the module handling core processing and framework rules, before and including version 25.07.3, the application accepts unlimited password guesses against both the browser login flow and the JSON login endpoint. The source code enables Devise's `:lockable` module on the user model but explicitly disables both lock and unlock strategies, and no request throttling or rate-limiting layer was identified in the Rails code. This creates a direct online password-guessing risk: - valid user accounts can be attacked continuously without temporary lockout - the same weakness is reachable through both `/users/sign_in` and `/api/v4/auth/login` - successful guessing yields a normal session cookie in the HTML flow or a fresh JWT in the API flow - the API endpoint is especially attractive for automation because it requires no CSRF token This has been patched in version 26.06.08.