CVE-2026-32823

dataCycle, verilerin merkezi olarak depolanması, yönetilmesi, aranması, bulunması ve dağıtılması için bir veri yönetim sistemidir. Çekirdek işleme ve çerçeve kurallarını yöneten modül olan dataCycle-CORE'da, 25.07.3 sürümü ve öncesinde, uygulama sunucu tarafı durum değişikliklerini `GET` rotaları üzerinden açığa çıkarır. Tarayıcılar aynı site üst düzey gezinmesinde çerezleri otomatik olarak gönderdiğinden ve Rails `GET` isteklerine CSRF korumaları uygulamadığından, bir saldırgan oturum açmış bir kurbanı bu uç noktalardan birine bir bağlantı, görsel, iframe veya yönlendirme yerleştirerek uygulama durumunu değiştirmeye zorlayabilir. Bu, hedefte normal bir `Standard` hesabıyla doğrulanmıştır: `watch_lists/:id/add_item?thing_id=...` adresine siteler arası tarzda bir `GET` isteği, CSRF belirteci olmadan bir izleme listesine içerik eklemiştir. Kod tabanında, yetkili yöneticiler için kullanıcı kimliğine bürünme ve önbellek veya çeviri durumu değişiklikleri dahil olmak üzere ek `GET` değişiklik rotaları bulunmaktadır. Bu, 26.06.08 sürümünde yamalanmıştır.