CVE-2026-32824

dataCycle məlumatların mərkəzləşdirilmiş şəkildə saxlanması, idarə edilməsi, axtarılması və paylanması üçün nəzərdə tutulmuş məlumat idarəetmə sistemidir. Əsas emal və çərçivə qaydalarını idarə edən dataCycle-CORE modulunda, 25.07.3 versiyası daxil olmaqla ondan əvvəlki versiyalarda, aşağı səlahiyyətli autentifikasiya olunmuş API istifadəçisi parolun sıfırlanması və ya təsdiqləmə axınlarını tetikləyərkən `forwardToUrl` və `redirectUrl` dəyərlərini təmin edə bilər. Bu dəyərlər daha sonra host ağ siyahısı (allowlist) yoxlamasından keçmədən göndərilən e-poçt iş axınına daxil edilir. Bu, iki əlaqəli sui-istifadə yoluna səbəb olur: - parolun sıfırlanması və ya təsdiqləmə linkləri, token artıq hücumçunun nəzarətində olan `forwardToUrl` ünvanına əlavə edilmiş şəkildə qurbana göndərilə bilər - legitim parol sıfırlama prosesi tamamlandıqdan sonra brauzer hücumçunun nəzarətində olan `redirectUrl` ünvanına yönləndirilir Təcrübədə bu, fişinq, tokenin ələ keçirilməsi, təsdiqləmənin oğurlanması və ya qurbanın etibarlı e-poçtdan hücumçu domenə yönləndirilməsi üçün istifadə edilə bilər. Bu problem 26.06.08 versiyasında aradan qaldırılmışdır.