CVE-2026-104142 in DataEase
Résumé
par VulDB • 15/10/2026
DataEase est un outil open source de visualisation et d'analyse des données. Avant la version 2.10.26, les utilisateurs authentifiés peuvent stocker des valeurs manipulées (FieldGroupDTO.min, FieldGroupDTO.max, FieldGroupDTO.startTime ou FieldGroupDTO.endTime) dans les définitions de binning champ-groupe des ensembles de données. Utils.transGroupFieldToSql insère ces valeurs libres dans des expressions SQL générées sans validation, et la requête SQL résultante peut atteindre l'exécution de requêtes backend non paramétrées lorsqu'un graphique utilise ce champ. Cette injection SQL stockée (Stored SQL Injection) peut compromettre la confidentialité, l'intégrité et la disponibilité de la base de données backend configurée. Ce problème est corrigé dans la version 2.10.26.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.