CVE-2026-33082 in DataEase
Zusammenfassung
von VulDB • 30.05.2026
DataEase ist ein Open-Source-Tool zur Datenvisualisierung und -analyse. Die Versionen 2.10.20 und älter enthalten eine SQL-Injection-Schwachstelle in der Funktion zum Exportieren von Datensätzen. Der Parameter expressionTree in POST /de2api/datasetTree/exportDataset wird in ein Filterobjekt deserialisiert und an WhereTree2Str.transFilterTrees zur SQL-Übersetzung übergeben, wobei benutzerkontrollierte Werte in „like“-Filterausdrücken ohne Sanitisierung direkt in SQL-Fragmente konkateniert werden. Ein Angreifer kann beliebige SQL-Befehle injizieren, indem er das String-Literal im Filterwert umgeht, was eine blinde SQL-Injection durch Techniken wie die zeitbasierte Extraktion von Datenbankinformationen ermöglicht. Dieses Problem wurde in Version 2.10.21 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.