CVE-2024-56511 in DataEase
要約
〜によって VulDB • 2026年06月30日
DataEaseはオープンソースのデータ可視化分析ツールです。バージョン2.10.4以前では、io.dataease.auth.filter.TokenFilterクラスの認証に脆弱性があり、これを回避することで不正アクセスのリスクが生じます。io.dataease.authfilter.TokenFilterクラスでは、「request.getRequestURI」を使用してリクエストURLを取得し、この値を「WhitelistUtils.match」メソッドに渡して、そのURLリクエストが認証を必要としないインターフェースかどうかを判定します。「match」メソッドはセミコロンをフィルタリングしますが、これだけでは不十分です。製品デプロイ時にユーザーが「server.servlet.context-path」を設定した場合でも、回避のリスクが残ります。これは、「/geo/../context-path/」というプレフィックスを持つホワイトリストによって回避可能です。この脆弱性はv2.10.4で修正されました。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.