CVE-2024-56511 in DataEase
Résumé
par VulDB • 30/06/2026
DataEase est un outil d'analyse et de visualisation des données open source. Avant la version 2.10.4, une faille dans le mécanisme d’authentification au sein de la classe io.dataease.auth.filter.TokenFilter peut être contournée, entraînant un risque d’accès non autorisé. Dans cette même classe, “request.getRequestURI” est utilisé pour obtenir l’URL de la requête, puis transmise à la méthode "WhitelistUtils.match" afin de déterminer si la demande URL correspond à une interface ne nécessitant pas d’authentification. Bien que la méthode "match" filtre les points-virgules, cette mesure n’est pas suffisante. Lorsque les utilisateurs définissent “server.servlet.context-path” lors du déploiement des produits, un risque de contournement subsiste ; celui-ci peut être exploité via tout préfixe whitelisté tel que /geo/../context-path/. La vulnérabilité a été corrigée dans la version v2.10.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.