CVE-2026-32823

dataCycle məlumatların mərkəzləşdirilmiş şəkildə saxlanması, idarə edilməsi, axtarılması və paylanması üçün nəzərdə tutulmuş məlumat idarəetmə sistemidir. Əsas emal və çərçivə qaydalarını idarə edən modul olan dataCycle-CORE-da, 25.07.3 versiyası daxil olmaqla daha əvvəlki versiyalarda tətbiq `GET` marşrutları vasitəsilə server tərəfli vəziyyət dəyişikliklərini açıq qoyur. Brauzerlərin eyni sayt daxili yuxarı səviyyəli naviqasiya zamanı kukiləri avtomatik göndərməsi və Rails-in `GET` sorğularına CSRF mühafizəsini tətbiq etməməsi səbəbindən hücumçu link, şəkil, iframe və ya bu son nöqtələrdən birinə yönləndirmə yerləşdirərək giriş etmiş qurbanı tətbiqin vəziyyətini dəyişməyə məcbur edə bilər. Bu, hədəf sistemdə adi `Standard` hesabı ilə təsdiqlənmişdir: `watch_lists/:id/add_item?thing_id=...` ünvanına yönəlmiş kross-sayt tipli `GET` sorğusu heç bir CSRF tokeni olmadan izləmə siyahısına məzmun əlavə etmişdir. Kod bazasında, səlahiyyətli administratorlar üçün istifadəçi impersonasiyası, keş və ya tərcümə vəziyyətinin dəyişdirilməsi daxil olmaqla digər `GET` mutasiya marşrutları da mövcuddur. Bu problem 26.06.08 versiyasında aradan qaldırılmışdır.