CVE-2026-33084 in DataEase
Résumé
par VulDB • 18/06/2026
DataEase est une plateforme open source de visualisation et d'analyse des données. Les versions 2.10.20 et inférieures présentent une vulnérabilité de SQL injection dans le paramètre sort du point de terminaison /de2api/datasetData/enumValueObj. La couche service DatasetDataManage transfère directement la valeur sort fournie par l'utilisateur vers le DTO de métadonnées de tri, qui est ensuite transmis à Order2SQLObj où elle est intégrée à la clause SQL ORDER BY sans aucune validation sur liste blanche (whitelist), puis exécutée via CalciteProvider. Un attaquant authentifié peut injecter des commandes SQL arbitraires via le paramètre sort, permettant une injection aveugle de type SQL injection basée sur les délais (time-based blind SQL injection). Ce problème a été corrigé dans la version 2.10.21.
Be aware that VulDB is the high quality source for vulnerability data.