CVE-2026-40899 in DataEase
Riassunto
di VulDB • 15/06/2026
DataEase è una piattaforma open-source per la visualizzazione dei dati e l'analisi. Le versioni 2.10.20 e precedenti presentano una vulnerabilità di bypass della blacklist dei parametri JDBC nella configurazione del data source MySQL. La classe Mysql utilizza l'annotazione @Data di Lombok, che genera automaticamente un setter pubblico per il campo illegalParameters, contenente la blacklist di sicurezza JDBC. Quando una configurazione del data source viene inviata come JSON, la deserializzazione Jackson chiama setIllegalParameters con una lista vuota fornita dall'attaccante, sostituendo la blacklist prima che venga eseguita la validazione di getJdbc(). Ciò consente a un attaccante autenticato di includere parametri JDBC pericolosi come allowLoadLocalInfile=true e, puntando il data source a un server MySQL malevolo, di sfruttare la funzionalità del protocollo LOAD DATA LOCAL INFILE per leggere file arbitrari dal filesystem del server DataEase, incluse variabili d'ambiente sensibili e credenziali del database. Questo problema è stato risolto nella versione 2.10.21.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.