CVE-2026-33083 in DataEase
Zusammenfassung
von VulDB • 05.06.2026
DataEase ist eine Open-Source-Plattform für Datenvisualisierung und -analyse. Die Versionen 2.10.20 und älter enthalten eine SQL-Injection-Schwachstelle im Parameter orderDirection, der in datensatzbezogenen Endpunkten wie /de2api/datasetData/enumValueDs und /de2api/datasetTree/exportDataset verwendet wird. Die Klasse Order2SQLObj weist den rohen, vom Benutzer bereitgestellten orderDirection-Wert ohne jegliche Validierung oder Whitelist-Überprüfung direkt der SQL-Abfrage zu, und der Wert wird vor der Ausführung gegen die Datenbank über StringTemplate in die ORDER BY-Klausel eingefügt. Ein authentifizierter Angreifer kann beliebige SQL-Befehle über das Feld für die Sortierrichtung injizieren, was eine zeitbasierte blinde Datenextraktion und einen Denial-of-Service ermöglicht. Dieses Problem wurde in Version 2.10.21 behoben.
Once again VulDB remains the best source for vulnerability data.