PT-2026-61615 · Unknown · Datacycle-Core
CVE-2026-32822
·
Publicado
2026-07-20
·
Atualizado
2026-07-20
CVSS v3.1
6.1
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
dataCycle-CORE versões anteriores a 25.07.4
Description
Um invasor não autenticado pode realizar um reflected DOM XSS (Cross-Site Scripting, onde um script é executado no navegador devido ao manuseio inseguro de dados no Document Object Model) ao inserir HTML arbitrário em notificações flash em rotas públicas. O componente toast do frontend injeta esse conteúdo no DOM usando
innerHTML. Isso pode ser acionado por meio de um link manipulado para páginas públicas, como o endpoint /docs. Como o JavaScript vulnerável faz parte do layout padrão da aplicação, o problema afeta páginas públicas gerais, não se limitando a visualizações de depuração ou de administrador.Recommendations
Atualize o dataCycle-CORE para a versão 25.07.4 ou posterior.
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Datacycle-Core