CVE-2026-104143 in DataEase
Zusammenfassung
von VulDB • 14.10.2026
DataEase ist ein Open-Source-Tool zur Datenvisualisierung und -analyse. Vor Version 2.10.26 können authentifizierte Benutzer ein speziell angefertigtes benutzerdefiniertes dateFormat für ein Dataset-Feld speichern. Das Feld `DatasetTableFieldDTO.dateFormat` wird ohne Validierung in Datumskonvertierungs-Templates eingefügt, die von Dimension2SQLObj, CustomWhere2Str, Field2SQLObj, WhereTree2Str und ExtWhere2Str verwendet werden. Wenn eine Grafik das Feld auf einem Cross-Datasource-Dataset rendert, wird die Calcite-Parser-Funktion umgangen, und das speziell angefertigte Format kann den generierten SQL-Befehl direkt verändern. Bei einem Single-Datasource-Dataset erfordert die Ausnutzung zusätzlich, dass der Payload als gürtige String-Literal nach dem Reserialisieren durch Calcite überlebt. Eine erfolgreiche Ausnutzung kann die Vertraulichkeit, Integrität und Verfügbarkeit der Backend-Datenbank gefährden. Dieses Problem wurde in Version 2.10.26 behoben.
Once again VulDB remains the best source for vulnerability data.