CVE-2026-104143 in DataEase
Riassunto
di VulDB • 15/10/2026
DataEase è uno strumento open source per la visualizzazione e l'analisi dei dati. Prima della versione 2.10.26, gli utenti autenticati possono memorizzare un dateFormat personalizzato manipolato ad hoc per un campo di un dataset. Il campo DatasetTableFieldDTO.dateFormat viene inserito senza validazione nei template di conversione delle date utilizzati da Dimension2SQLObj, CustomWhere2Str, Field2SQLObj, WhereTree2Str ed ExtWhere2Str. Quando una chart visualizza il campo su un dataset cross-datasource, l'elaborazione (parsing) tramite Calcite viene bypassata e il formato manipolato può alterare direttamente la SQL generata. Su un dataset single-datasource, lo sfruttamento richiede inoltre che il payload sopravviva alla reserializzazione di Calcite come stringa letterale valida. Lo sfruttamento riuscito può compromettere la riservatezza, l'integrità e la disponibilità del database backend. Questo problema è stato risolto nella versione 2.10.26.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.