🇰🇷 한글 설명
dataCycle-CORE 25.07.3 미만 버전에서 GET 요청을 통해 서버 측 상태를 변경할 수 있는 CSRF 취약점이 발견되었습니다. 공격자는 사용자가 로그인된 상태에서 특정 링크나 이미지를 클릭하도록 유도하여 위시리스트 수정, 관리자 사칭, 캐시 변경 등의 동작을 강제로 수행할 수 있습니다.
💡 쉬운 설명
로그인된 사용자가 악성 링크를 클릭하기만 해도 본인도 모르게 데이터가 수정되거나 설정이 바뀌는 보안 결함입니다. 공격자가 사용자의 권한을 도용하여 시스템 설정을 마음대로 조작할 수 있습니다.
🇺🇸 원문 (English)
dataCycle is a data management system for centrally storing, managing, searching, finding, and distributing data. In dataCycle-CORE, the module handling core processing and framework rules, before and including version 25.07.3, the application exposes server-side state changes through `GET` routes. Because browsers automatically send cookies on same-site top-level navigation and Rails does not apply CSRF protections to `GET`, an attacker can force a logged-in victim to modify application state by embedding a link, image, iframe, or redirect to one of these endpoints. This was confirmed on the target with a normal `Standard` account: a cross-site-style `GET` to `watch_lists/:id/add_item?thing_id=...` inserted content into a watch list with no CSRF token. Additional `GET` mutation routes exist in the codebase, including user impersonation for authorized admins and cache or
translation state changes. This is patched in version 26.06.08.
📍 영향받는 시스템
dataCycle-CORE version 25.07.3 및 그 이전 버전
⚔️ 공격 벡터
CSRF 보호가 적용되지 않는 GET 요청 경로를 활용한 링크, 이미지, iframe 또는 리다이렉트 공격
🛡️ 대응 방법
dataCycle-CORE를 보안 패치가 적용된 버전 26.06.08 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 26.06.08 미만인 경우 해당 취약점에 노출되어 있는 상태입니다.
rpm -q datacycle-core 2>/dev/null | grep -E '2[5-6]\.[0-6]\.[0-9]+'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server