CVE-2026-123990
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
W DataEase do wersji 2.10.27/3.1.0 wykryto podatność w funkcji ExtWhere2Str.extWhere2sqlOjb pliku engine/trans/ExtWhere2Str.java komponentu Chart Data Handler. Manipulacja argumentem operator prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Atakujący może wykonać dowolne zapytania SQL, co może prowadzić do wycieku danych, modyfikacji bazy lub eskalacji uprawnień. Ryzyko jest wysokie, ponieważ exploit jest publiczny, a atak można przeprowadzić zdalnie.
Rekomendacja
Należy zaktualizować DataEase do wersji 3.2.0, która rozwiązuje problem poprzez walidację operatora złożonego i użycie stałych słów kluczowych AND/OR. Zaleca się również wdrożenie zasady najmniejszych uprawnień dla kont bazy danych.
Inne podatności w DataEase
Zobacz wszystkie- CVE-2026-46684Krytyczne
W DataEase przed wersją 2.10.23 stwierdzono podatność w obsłudze tokenów korporacyjnych. Filtr TokenFilter#doFilter() przekazuje wartość nagłówka X-DE-TOKEN do metody TokenUtils.validate(), która sprawdza jedynie obecność i długość tokena, a następnie funkcja userBOByToken() używa JWT.decode() bez weryfikacji podpisu. Umożliwia to akceptację sfałszowanych tokenów z dowolnymi wartościami uid i oid, gdy licenseValid=true.
- CVE-2026-45534Krytyczne
W narzędziu DataEase przed wersją 2.10.23 wykryto podatność umożliwiającą zdalne wykonanie kodu (RCE) poprzez połączenie ze źródłem danych Redshift. Atakujący może wczytać kontrolowany plik konfiguracyjny rsjdbc.ini z katalogu tymczasowego, co prowadzi do wykonania kodu w wyniku refleksji podczas normalnego połączenia JDBC.
- CVE-2025-64428Krytyczne
Dataease, narzędzie do wizualizacji i analizy danych, w wersjach przed 2.10.17 jest podatne na wstrzyknięcie JNDI. Mimo dodania czarnej listy w wersji 2.10.14, atak nadal możliwy jest przez schematy iiop, corbaname oraz iiopname. Podatność została naprawiona w wersji 2.10.17.
- CVE-2025-64164Krytyczne
DataEase w wersjach 2.10.14 i starszych nieprawidłowo filtruje dane przy nawiązywaniu połączeń JDBC do Oracle, co stwarza ryzyko wstrzyknięcia JNDI. Problem został naprawiony w wersji 2.10.15.
- CVE-2025-64163Krytyczne
W DataEase w wersjach 2.10.14 i niższych dostawca dodał czarną listę filtrującą ldap:// i ldaps://, jednak pominięto ochronę protokołu dns://, co skutkuje podatnością SSRF. Luka została naprawiona w wersji 2.10.15.
- CVE-2025-58748Krytyczne
W DataEase w wersjach do 2.10.12 implementacja źródła danych H2 (H2.java) nie weryfikuje, czy podany URL JDBC rozpoczyna się od jdbc:h2. Brak tej walidacji pozwala na spreparowaną konfigurację JDBC, która podstawia sterownik Amazon Redshift i wykorzystuje parametry socketFactory i socketFactoryArg do wywołania org.springframework.context.support.FileSystemXmlApplicationContext lub ClassPathXmlApplicationContext ze zdalnym zasobem XML kontrolowanym przez atakującego, co skutkuje zdalnym wykonaniem kodu. Luka została naprawiona w wersji 2.10.13.
- CVE-2025-58046Krytyczne
W DataEase w wersjach do 2.10.12 włącznie źródło danych Impala jest podatne na zdalne wykonanie kodu z powodu niewystarczającego filtrowania w metodzie getJdbc klasy io.dataease.datasource.type.Impala. Atakujący mogą konstruować złośliwe ciągi połączenia JDBC wykorzystujące wstrzyknięcie JNDI i wywołujące deserializację RMI, co umożliwia zdalne wykonanie poleceń poprzez edycję źródła danych i podanie spreparowanego ciągu JDBC odwołującego się do zdalnego pliku konfiguracyjnego. Luka została naprawiona w wersji 2.10.13.
- CVE-2025-58045Krytyczne
W DataEase w wersjach do 2.10.12 poprawka wprowadzona w celu ograniczenia ataków zdalnego wykonania kodu przez deserializację JDBC DB2 objęła czarną listą tylko parametr rmi. Parametr ldap w ciągu połączenia JDBC DB2 nie został filtrowany, co pozwala atakującym wykorzystać ciąg połączenia JDBC DB2 do wywołania podatności SSRF. W nowszych wersjach Javy deserializacja ldap (autoDeserialize) jest domyślnie wyłączona, co uniemożliwia zdalne wykonanie kodu, ale SSRF pozostaje możliwy do wykorzystania. Luka została naprawiona w wersji 2.10.13.
- CVE-2026-123992Średnie
W DataEase do wersji 2.10.27 wykryto podatność w funkcji StaticResourceServer.validateSvgContent obsługującej pliki SVG. Manipulacja danymi wejściowymi może prowadzić do ataku cross-site scripting (XSS), możliwego do przeprowadzenia zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-123991Wysokie
W DataEase do wersji 2.10.27 wykryto podatność w funkcji WhitelistUtils.endsWithAny pliku WhitelistUtils.java komponentu Authentication Filter. Manipulacja argumentem File prowadzi do nieograniczonego przesyłania plików. Możliwe jest zdalne zainicjowanie ataku, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in DataEase up to 2.10.27/3.1.0. Affected is the function ExtWhere2Str.extWhere2sqlOjb of the file engine/trans/ExtWhere2Str.java of the component Chart Data Handler. Such manipulation of the argument operator leads to sql injection. The attack may be performed from remote. The exploit has been disclosed publicly and may be used. Upgrading to version 3.2.0 is able to address this issue. Upgrading the affected component is advised. The vendor confirms: "The fix validates the complete compound operator and uses fixed AND / OR keywords instead of concatenating user-controlled logic into SQL."
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS