CVE-2025-64428
KrytyczneStreszczenie
Dataease, narzędzie do wizualizacji i analizy danych, w wersjach przed 2.10.17 jest podatne na wstrzyknięcie JNDI. Mimo dodania czarnej listy w wersji 2.10.14, atak nadal możliwy jest przez schematy iiop, corbaname oraz iiopname. Podatność została naprawiona w wersji 2.10.17.
Ocena ryzyka
Wstrzyknięcie JNDI może umożliwić zdalne wykonanie kodu i przejęcie kontroli nad serwerem Dataease.
Rekomendacja
Należy jak najszybciej zaktualizować Dataease do wersji 2.10.17 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Dataease is an open source data visualization analysis tool. Versions prior to 2.10.17 are vulnerable to JNDI injection. A blacklist was added in the patch for version 2.10.14. However, JNDI injection remains possible via the iiop, corbaname, and iiopname schemes. The vulnerability has been fixed in version 2.10.17.