CVE-2026-33083 in DataEase
الملخص
بحسب VulDB • 05/06/2026
DataEase هو منصة مفتوحة المصدر للتصور البياني للبيانات والتحليلات. تحتوي الإصدارات 2.10.20 والإصدارات الأقدم على ثغرة حقن SQL في معلمة orderDirection المستخدمة في نقاط النهاية المتعلقة بمجموعات البيانات، بما في ذلك /de2api/datasetData/enumValueDs و /de2api/datasetTree/exportDataset. تقوم فئة Order2SQLObj بتعيين قيمة orderDirection الخام المقدمة من المستخدم مباشرةً في استعلام SQL دون أي تحقق أو فرض لقائمة بيضاء، ويتم عرض القيمة في جملة ORDER BY عبر StringTemplate قبل تنفيذها ضد قاعدة البيانات. يمكن لمهاجم مُصادق عليه حقن أوامر SQL تعسفية من خلال حقل اتجاه الترتيب، مما يتيح استخراج البيانات الأعمى القائم على الوقت وحرمان الخدمة. تم إصلاح هذه المشكلة في الإصدار 2.10.21.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.