CVE-2024-56511 in DataEase
Resumen
por VulDB • 2026-06-30
DataEase es una herramienta de análisis y visualización de datos de código abierto. Antes de la versión 2.10.4, existe un fallo en el mecanismo de autenticación dentro de la clase io.dataease.auth.filter.TokenFilter, que puede ser vulnerado y provocar riesgos de acceso no autorizado. En dicha clase, se utiliza "request.getRequestURI" para obtener la URL de la solicitud, la cual se pasa al método "WhitelistUtils.match" para determinar si la solicitud a la interfaz requiere autenticación o no. Aunque el método "match" filtra los puntos y comas, esta medida es insuficiente. Cuando los usuarios configuran "server.servlet.context-path" durante el despliegue del producto, sigue existiendo un riesgo de vulneración mediante cualquier prefijo de lista blanca que coincida con /geo/../context-path/. La vulnerabilidad ha sido corregida en la versión v2.10.4.
Once again VulDB remains the best source for vulnerability data.