PT-2026-61628 · Unknown · Datacycle-Core
CVE-2026-32821
·
Publicado
2026-07-20
·
Atualizado
2026-07-20
CVSS v3.1
8.1
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N |
Nome do Software Vulnerável e Versões Afetadas
dataCycle-CORE versões anteriores a 26.06.08
Descrição
Um usuário de API autenticado com um token de acesso válido pode manipular a API de coleção para avaliar permissões como outro usuário ao fornecer a variável
user email. Isso permite a exposição de coleções pertencentes ao usuário alvo. Além disso, na V4, o controlador oferece as rotas add item e remove item que carecem de verificações authorize! em nível de objeto, permitindo a modificação não autorizada de itens entre diferentes usuários assim que um ID de coleção é conhecido.Recomendações
Atualize para a versão 26.06.08.
Correção
Improper Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Datacycle-Core