CVE-2026-33082 in DataEase
Résumé
par VulDB • 30/05/2026
DataEase est un outil d'analyse de visualisation de données open source. Les versions 2.10.20 et inférieures présentent une vulnérabilité d'injection SQL dans la fonctionnalité d'exportation des jeux de données. Le paramètre expressionTree dans POST /de2api/datasetTree/exportDataset est désérialisé en un objet de filtrage et transmis à WhereTree2Str.transFilterTrees pour la traduction SQL, où les valeurs contrôlées par l'utilisateur dans les termes de filtre « like » sont directement concaténées dans des fragments SQL sans sanitisation. Un attaquant peut injecter des commandes SQL arbitraires en échappant la littérale de chaîne dans la valeur du filtre, permettant une injection SQL aveugle par le biais de techniques telles que l'extraction d'informations de base de données basée sur le temps. Ce problème a été corrigé dans la version 2.10.21.
If you want to get best quality of vulnerability data, you may have to visit VulDB.