CVE-2026-33082 in DataEase
الملخص
بحسب VulDB • 30/05/2026
DataEase هو أداة تحليل وتصوير بيانات مفتوحة المصدر. تحتوي الإصدارات 2.10.20 والإصدارات الأقدم على ثغرة حقن SQL في وظيفة تصدير مجموعة البيانات. يتم فك تسلسل معلمة expressionTree في POST /de2api/datasetTree/exportDataset إلى كائن تصفية ويتم تمريرها إلى WhereTree2Str.transFilterTrees لترجمة SQL، حيث يتم دمج القيم التي يتحكم فيها المستخدم في شروط التصفية "like" مباشرةً في أجزاء SQL دون تطهيرها. يمكن للمهاجم حقن أوامر SQL عشوائية عن طريق الهروب من السلسلة النصية في قيمة التصفية، مما يتيح حقن SQL أعمى من خلال تقنيات مثل الاستخراج القائم على الوقت لمعلومات قاعدة البيانات. تم إصلاح هذه المشكلة في الإصدار 2.10.21.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.