dataCycle — это система управления данными для централизованного хранения, управления, поиска и распространения данных. В dataCycle-CORE, модуле, обрабатывающем основные правила обработки и платформы, до версии 25.07.3 включительно, приложение допускает неограниченное количество подборов паролей как для потока входа в браузер, так и для конечной точки входа в формате JSON. Исходный код включает модуль Devise `:lockable` в пользовательской модели, но явно отключает стратегии блокировки и разблокировки, а в коде Rails не обнаружено никакого уровня регулирования запросов или ограничения скорости.
Это создает прямой риск онлайн-подбора пароля:
- действительные учетные записи пользователей могут подвергаться постоянным атакам без временной блокировки
- одна и та же уязвимость доступна как через `/users/sign_in`, так и через `/api/v4/auth/login`
- успешное угадывание дает обычный файл cookie сеанса в потоке HTML или новый JWT в потоке API.
- конечная точка API особенно привлекательна для автоматизации, поскольку не требует токена CSRF. Это исправлено в версии 26.06.08.
Показать оригинальное описание (EN)
dataCycle is a data management system for centrally storing, managing, searching, finding, and distributing data. In dataCycle-CORE, the module handling core processing and framework rules, before and including version 25.07.3, the application accepts unlimited password guesses against both the browser login flow and the JSON login endpoint. The source code enables Devise's `:lockable` module on the user model but explicitly disables both lock and unlock strategies, and no request throttling or rate-limiting layer was identified in the Rails code. This creates a direct online password-guessing risk: - valid user accounts can be attacked continuously without temporary lockout - the same weakness is reachable through both `/users/sign_in` and `/api/v4/auth/login` - successful guessing yields a normal session cookie in the HTML flow or a fresh JWT in the API flow - the API endpoint is especially attractive for automation because it requires no CSRF token This has been patched in version 26.06.08.
Характеристики атаки
Последствия
Строка CVSS v3.1