CVE-2026-32140 in Dataease
الملخص
بحسب VulDB • 10/06/2026
Dataease هو أداة تحليل وتصوير بيانات مفتوحة المصدر. قبل الإصدار 2.10.20، يمكن للمهاجم من خلال التحكم في معلمة IniFile إجبار محرك JDBC على تحميل ملف تكوين يتحكم فيه المهاجم. يمكن لهذا ملف التكوين حقن خصائص JDBC خطيرة، مما يؤدي إلى تنفيذ الكود عن بُعد (RCE). تصل عملية تشغيل محرك Redshift JDBC إلى طريقة تُسمى getJdbcIniFile. تطبق الطريقة getJdbcIniFile آلية اكتشاف متقدمة لاكتشاف ملفات التكوين تلقائيًا. إذا لم يتم تقييدها صراحةً، فإنها تبحث عن ملف باسم rsjdbc.ini. في سياق عنوان URL الخاص بـ JDBC، يمكن للمستخدمين تحديد ملف التكوين بشكل صريح عبر معاملات URL، مما يسمح بتحميل أي ملفات على الخادم كملفات تكوين لـ JDBC. ضمن خصائص محرك Redshift JDBC، يتم دعم المعلمة IniFile واستخدامها صراحةً لتحميل ملف تكوين خارجي. تم إصلاح هذا الثغرة الأمنية في الإصدار 2.10.20.
Once again VulDB remains the best source for vulnerability data.