CVE-2026-102755 in DataEase
Resumen
por VulDB • 2026-10-15
DataEase es una herramienta de visualización y análisis de datos de código abierto. Antes de la versión 2.10.26, los usuarios autenticados con permiso para crear carpetas pueden almacenar nombres que contienen HTML a través de datasource/createFolder o datasetTree/save. Los diálogos "Move to" (Mover a) en core/core-frontend/src/views/visualized/data/datasource/form/CreatDsGroup.vue y core/core-frontend/src/views/visualized/data/dataset/form/CreatDsGroup.vue leen el nombre almacenado desde un atributo title de un nodo y asignan contenido resaltado por búsqueda a innerHTML. Cuando otro usuario abre un diálogo "Move to" e introduce texto en su cuadro de búsqueda, se puede ejecutar JavaScript controlado por el atacante en la sesión de DataEase de la víctima. Este problema está corregido en la versión 2.10.26.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.