🇰🇷 한글 설명
dataCycle-CORE 25.07.3 이전 버전에서 인증된 사용자가 /remote_render 엔드포인트를 통해 권한이 없는 임의의 렌더링 함수를 요청할 수 있는 취약점이 발견되었습니다. 이로 인해 낮은 권한을 가진 사용자도 관리자 전용 콘텐츠나 데이터베이스 통계와 같은 민감한 정보를 탈취할 수 있습니다.
💡 쉬운 설명
로그인한 일반 사용자가 원래는 볼 수 없는 관리자 전용 화면이나 중요한 정보를 몰래 불러올 수 있는 보안 구멍이 발견되었습니다. 마치 일반 손님이 식당의 주방 내부를 들여다보거나 금고 위치를 알 수 있게 된 것과 같습니다.
🇺🇸 원문 (English)
dataCycle is a data management system for centrally storing, managing, searching, finding, and distributing data. In dataCycle-CORE, the module handling core processing and framework rules, before and including version 25.07.3, any authenticated user can request arbitrary partials or helper-backed render functions through /remote_render. The endpoint does not restrict which partial can be rendered and does not apply controller-specific authorization before rendering the selected view. This enables a low-privileged user to retrieve server-side rendered admin content that is otherwise hidden by navigation and route checks. On the test instance, a Standard user was able to retrieve the PostgreSQL admin dashboard stats even though /admin itself redirected away. This is patched in 26.06.08.
📍 영향받는 시스템
dataCycle-CORE 25.07.3 및 그 이전 버전
⚔️ 공격 벡터
/remote_render 엔드포인트를 이용한 권한 없는 렌더링 함수 호출
🛡️ 대응 방법
dataCycle-CORE를 보안 패치가 적용된 26.06.08 버전 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 실행 결과 버전 번호가 출력되면 취약한 버전이 설치되어 있는 상태입니다.
dataCycle-CORE --version 2>/dev/null | grep -E '^(?!26.06.08)'