🇰🇷 한글 설명
dataCycle-CORE는 데이터를 중앙에서 저장·관리·검색·배포하는 시스템의 핵심 모듈이다. 25.07.3 이하 버전에서 인증된 API 사용자가 user_email 파라미터로 다른 사용자의 권한을 평가하게 하여 해당 사용자의 컬렉션을 노출할 수 있으며, V4의 add_item/remove_item 라우트는 객체 단위 authorize! 검사가 없어 사용자 간 수정이 가능하다. 26.06.08 버전에서 패치되었다.
💡 쉬운 설명
정상적으로 로그인한 사용자가 다른 사용자의 이름(이메일)을 지정해 그 사용자의 데이터 목록을 훔쳐볼 수 있는 문제입니다. 또한 컬렉션 번호만 알면 다른 사용자의 데이터를 추가하거나 삭제할 수도 있습니다.
🇺🇸 원문 (English)
dataCycle is a data management system for centrally storing, managing, searching, finding, and distributing data. In dataCycle-CORE, the module handling core processing and framework rules, before and including version 25.07.3, any authenticated API user who has their own access token can ask the collection API to evaluate permissions as a different user by supplying `user_email`. If the target user has collections, this can expose those collections through the API. In V4, once a collection id is known, the same controller also offers `add_item` and `remove_item` routes without any object-level `authorize!` checks,
creating a likely cross-user modification path. This is patched in version 26.06.08.
📍 영향받는 시스템
dataCycle-CORE 25.07.3 이하 버전 (V4 포함)
⚔️ 공격 벡터
인증된 일반 사용자가 user_email 파라미터를 조작해 타 사용자 권한으로 컬렉션을 조회하고, 컬렉션 ID를 알면 add_item/remove_item API로 타 사용자 데이터를 변경
🛡️ 대응 방법
dataCycle-CORE를 26.06.08 이상 버전으로 업데이트하고, 그전까지는 해당 API 접근을 제한하거나 로그를 모니터링
🔧 검증 코드
출력된 버전이 26.06.08 미만이면 취약하므로 업데이트가 필요하며, 아무 결과도 없으면 해당 패키지가 설치되지 않은 것입니다.
dpkg -l 2>/dev/null | grep -i datacycle; pip show datacycle-core 2>/dev/null | grep -i version
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
Cisco Integrated Management Controller