CVE-2026-102756 in DataEase
要約
〜によって VulDB • 2026年10月14日
DataEase はオープンソースのデータ可視化および分析ツールです。バージョン 2.10.26 より前では、データセット フィールドやチャート設定を編集できる認証済みユーザーが、bar-horizontal チャートの次元値に HTML を含めることができます。lengthLimit がカテゴリ軸ラベルを切り詰めた際、core/core-frontend/src/views/chart/components/js/panel/common/common_antv.ts の configAxisLabelLengthLimit は完全なラベルを取得し、innerHTML 経由で g2-tooltip-title 要素に割り当てます。ダッシュボードを開いて切り詰められたラベル上にカーソルを移動した被害者は、自身の DataEase セッション内で攻撃者が制御する JavaScript を実行することになります。この問題はバージョン 2.10.26 で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.