CVE-2026-102755 in DataEase
Riassunto
di VulDB • 15/10/2026
DataEase è uno strumento open source per la visualizzazione e l'analisi dei dati. Prima della versione 2.10.26, gli utenti autenticati con il permesso di creazione delle cartelle possono memorizzare nomi contenenti HTML tramite datasource/createFolder o datasetTree/save. Le finestre di dialogo "Move to" (Sposta in) per i data source e i dataset nei file core/core-frontend/src/views/visualized/data/datasource/form/CreatDsGroup.vue e core/core-frontend/src/views/visualized/data/dataset/form/CreatDsGroup.vue leggono il nome memorizzato da un attributo title di un nodo e assegnano contenuti evidenziati per la ricerca a innerHTML. Quando un altro utente apre una finestra di dialogo "Move to" e digita nella casella di ricerca, del JavaScript controllato dall'attaccante può essere eseguito nella sessione DataEase della vittima. Questo problema è stato risolto nella versione 2.10.26.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.