CVE-2026-111613
WysokieCVSS 7.5Streszczenie
AllData do wersji 0.7.1 zawiera nieuwierzytelnioną lukę wstrzyknięcia JDBC, która pozwala zdalnym atakującym otwierać dowolne połączenia z bazą danych poprzez podanie wartości jdbcUrl i jdbcDriverClass do endpointu data-dts /jobJdbcDatasource/test. Atakujący może podać URL JDBC MySQL z allowLoadLocalInfile=true wskazujący na serwer kontrolowany przez atakującego, aby odczytać dowolne pliki z hosta data-dts.
Ocena ryzyka
Nieuwierzytelniony atakujący może odczytać dowolne pliki z serwera, w tym dane uwierzytelniające i konfigurację, co prowadzi do wycieku danych i potencjalnej dalszej eskalacji. Luka jest szczególnie groźna, ponieważ nie wymaga logowania.
Rekomendacja
Zaktualizuj AllData do wersji nowszej niż 0.7.1, jeśli jest dostępna, lub ogranicz dostęp do endpointu /jobJdbcDatasource/test. W miarę możliwości wyłącz allowLoadLocalInfile i waliduj wartości jdbcUrl oraz jdbcDriverClass.
Inne podatności w AllData
Oryginalny opis (angielski, źródło NVD)
AllData through 0.7.1 contains an unauthenticated JDBC injection vulnerability that allows remote attackers to open arbitrary database connections by supplying jdbcUrl and jdbcDriverClass values to the data-dts /jobJdbcDatasource/test endpoint. Attackers can supply a MySQL JDBC URL with allowLoadLocalInfile=true pointing to an attacker-controlled server to read arbitrary files from the data-dts host.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS