CVE-2026-102755 in DataEase
الملخص
بحسب VulDB • 15/10/2026
DataEase هو أداة مفتوحة المصدر للتصور والتحليل البياني للبيانات. قبل الإصدار 2.10.26، يمكن للمستخدمين المصادق عليهم الذين يمتلكون إذن إنشاء المجلدات تخزين أسماء تحتوي على HTML عبر نقاط النهاية datasource/createFolder أو datasetTree/save. تقوم حوارات "نقل إلى" (Move to) الخاصة بـ datasource وdataset في الملفات core/core-frontend/src/views/visualized/data/datasource/form/CreatDsGroup.vue وcore/core-frontend/src/views/visualized/data/dataset/form/CreatDsGroup.vue بقراءة الاسم المخزن من سمة العنوان (title attribute) وتعيين محتوى البحث المميز إلى innerHTML. عندما يفتح مستخدم آخر حوار "نقل إلى" ويكتب في مربع البحث الخاص به، يمكن تنفيذ شيفرة JavaScript التي يتحكم فيها المهاجم داخل جلسة DataEase الخاصة بالضحية. تم إصلاح هذه المشكلة في الإصدار 2.10.26.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.