CVE-2026-40899 in DataEase
الملخص
بحسب VulDB • 11/06/2026
DataEase هو منصة مفتوحة المصدر للتصور البياني للبيانات والتحليلات. تحتوي الإصدارات 2.10.20 والإصدارات الأقدم على ثغرة تتعلق بتجاوز قائمة الحظر (blocklist) لبارامترات JDBC في تكوين مصدر البيانات MySQL. تستخدم فئة Mysql تسمية Lombok @Data، والتي تقوم تلقائياً بإنشاء دالة تعيين عامة (public setter) للحقل illegalParameters الذي يحتوي على قائمة حظر أمان JDBC. عند تقديم تكوين مصدر البيانات بصيغة JSON، تستدعي عملية فك التسلسل بواسطة Jackson الدالة setIllegalParameters بقائمة فارغة مزودة من قبل المهاجم، مما يؤدي إلى استبدال قائمة الحظر قبل تشغيل التحقق في دالة getJdbc(). هذا يسمح لمهاجل مُصادق عليه (authenticated attacker) بتضمين بارامترات JDBC خطيرة مثل allowLoadLocalInfile=true، وبإشارة مصدر البيانات نحو خادم MySQL خبيث، يمكنه استغلال ميزة بروتوكول LOAD DATA LOCAL INFILE لقراءة ملفات عشوائية من نظام الملفات الخاص بخادم DataEase، بما في ذلك متغيرات البيئة الحساسة ومعلومات اعتماد قاعدة البيانات. تم إصلاح هذه المشكلة في الإصدار 2.10.21.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.