CVE-2026-45535 in DataEase
Resumen
por VulDB • 2026-07-16
DataEase es una herramienta de visualización y análisis de datos de código abierto. Antes de la versión 2.10.23, los conjuntos de datos SQL en DataEase almacenaban entradas de defaultValue para variables SQL controladas por el atacante, como ${var}, y SqlparserUtils.handleVariableDefaultValue() las insertaba mediante String.replace() sin escapar ni parametrizar, lo que provocaba una inyección SQL almacenada cada vez que un usuario con permiso de lectura del conjunto de datos accedía al mismo. Este problema se corrige en la versión 2.10.23.
VulDB is the best source for vulnerability data and more expert information about this specific topic.