CVE-2026-82879
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
DataEase przed wersją 2.10.26 zawiera wiele defektów kontroli dostępu w module linków udostępniania. Bilety nie są powiązane z docelowym UUID udostępnienia, więc ważny bilet wydany dla jednego udostępnienia może być użyty przeciwko innemu. Endpoint POST /de2api/share/validate wydaje LinkToken po weryfikacji hasła bez wymagania biletu, omijając politykę 'ticket mandatory'. Ponadto endpointy tworzenia i usuwania biletów nie sprawdzają własności udostępnienia, co pozwala uwierzytelnionemu użytkownikowi, który zna bilet innego użytkownika, na modyfikację, ponowne powiązanie lub usunięcie go (denial of service), a GET /de2api/share/queryRelationByUserId/{uid} pozwala uwierzytelnionym użytkownikom na enumerację mapowań udostępnień innych użytkowników.
Ocena ryzyka
Podatność umożliwia nieautoryzowany dostęp do udostępnionych zasobów, manipulację biletami i enumerację danych innych użytkowników. Może to prowadzić do naruszenia poufności danych, przerw w działaniu usług i eskalacji uprawnień.
Rekomendacja
Należy natychmiast zaktualizować DataEase do wersji 2.10.26 lub nowszej, która zawiera poprawki. Należy również przejrzeć konfigurację udostępniania i upewnić się, że polityka 'ticket mandatory' jest egzekwowana.
Inne podatności w DataEase
Zobacz wszystkie- CVE-2026-45532Wysokie
DataEase to narzędzie do wizualizacji i analizy danych typu open source. Wersje przed 2.10.23 mają podatność na path traversal. Przyczyną jest to, że na systemie Windows separator plików to '\', a serwer filtruje tylko znak '/' podczas skracania ciągów. Luka została naprawiona w wersji 2.10.23. Brak znanych obejść.
- CVE-2026-46684Krytyczne
W DataEase przed wersją 2.10.23 stwierdzono podatność w obsłudze tokenów korporacyjnych. Filtr TokenFilter#doFilter() przekazuje wartość nagłówka X-DE-TOKEN do metody TokenUtils.validate(), która sprawdza jedynie obecność i długość tokena, a następnie funkcja userBOByToken() używa JWT.decode() bez weryfikacji podpisu. Umożliwia to akceptację sfałszowanych tokenów z dowolnymi wartościami uid i oid, gdy licenseValid=true.
- CVE-2026-45534Krytyczne
W narzędziu DataEase przed wersją 2.10.23 wykryto podatność umożliwiającą zdalne wykonanie kodu (RCE) poprzez połączenie ze źródłem danych Redshift. Atakujący może wczytać kontrolowany plik konfiguracyjny rsjdbc.ini z katalogu tymczasowego, co prowadzi do wykonania kodu w wyniku refleksji podczas normalnego połączenia JDBC.
- CVE-2025-64428Krytyczne
Dataease, narzędzie do wizualizacji i analizy danych, w wersjach przed 2.10.17 jest podatne na wstrzyknięcie JNDI. Mimo dodania czarnej listy w wersji 2.10.14, atak nadal możliwy jest przez schematy iiop, corbaname oraz iiopname. Podatność została naprawiona w wersji 2.10.17.
- CVE-2023-40772Średnie
Podatność typu directory traversal w DataEase przed wersją 1.18.10 pozwala zdalnemu atakującemu na uzyskanie poufnych informacji poprzez spreparowane żądanie do komponentu StaticResourceController.java.
- CVE-2026-90529Niskie
Wykryto podatność w DataEase w wersjach do 2.10.25/2.10.26. Dotyczy ona funkcji buildTooltip w pliku symbolic-map.ts komponentu Symbolic Map i manipulacji argumentem canvasViewInfo[*].customAttr.tooltip.backgroundColor, co prowadzi do cross site scripting (XSS). Atak można przeprowadzić zdalnie, a projekt został wcześniej poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-82878Średnie
DataEase przed wersją 2.10.26 pomija kontrolę autoryzacji na poziomie obiektów w endpointach REST dotyczących informacji geograficznych, powiązań dashboardów i szczegółów wykresów, co pozwala uwierzytelnionym użytkownikom na dostęp do zasobów należących do innych użytkowników. Atakujący mogą nadpisywać lub usuwać geometrię map, modyfikować powiązania dashboardów oraz pobierać metadane i konfigurację wykresów dla zasobów, których nie posiadają, podając dowolne identyfikatory w żądaniach.
- CVE-2026-50124Wysokie
Podatność w narzędziu DataEase przed wersją 2.10.23 umożliwia zdalne wykonanie kodu poprzez przesłanie spreparowanego pliku payload.zip za pomocą API Excel /datasource/upload. Atakujący tworzy źródło danych H2 wykorzystujące protokół zip:, a następnie wykonuje zapytanie SQL, które uruchamia prekompilowane aliasy Java w pliku test.mv.db, prowadząc do wykonania dowolnego kodu.
- CVE-2026-50030Wysokie
Podatność w narzędziu DataEase przed wersją 2.10.23 umożliwia wykonanie dowolnych zapytań SQL do odczytu danych z podłączonych źródeł danych. Problem występuje w funkcji podglądu SQL, która nie weryfikuje uprawnień dostępu do tabel.
- CVE-2026-49867Średnie
W DataEase przed wersją 2.10.23 uwierzytelnieni użytkownicy mogą przesyłać pliki SVG przez endpointy POST /de2api/templateManage/save lub DataVisualizationServer.decompression. Pliki są zapisywane bez walidacji rozszerzenia, typu MIME ani zawartości, co umożliwia przechowywanie złośliwych skryptów SVG i prowadzi do ataku XSS w kontekście tej samej domeny.
Oryginalny opis (angielski, źródło NVD)
DataEase before 2.10.26 contains multiple access control defects in the sharing link module. Tickets are not bound to the target share UUID, so a valid ticket issued for one share can be reused against another (ShareTicketManage.validateTicket / POST /de2api/share/proxyInfo). The POST /de2api/share/validate endpoint issues a LinkToken after password verification without requiring a ticket, bypassing the 'ticket mandatory' policy. Additionally, the ticket create and delete endpoints (POST /de2api/ticket/saveTicket, POST /de2api/ticket/delTicket) lack share-ownership checks, allowing an authenticated user who knows another user's ticket to modify, rebind, or delete it (denial of service), and GET /de2api/share/queryRelationByUserId/{uid} allows authenticated users to enumerate other users' share mappings.