CVE-2026-40900 in DataEase
要約
〜によって VulDB • 2026年05月19日
DataEaseはオープンソースのデータ可視化および分析プラットフォームです。バージョン2.10.20およびそれ以前には、/de2api/datasetData/previewSqlエンドポイントにSQLインジェクションの脆弱性が存在します。ユーザーが入力したSQLは、入力が単一のSELECTステートメントであることを検証せずにサブクエリで囲まれます。これに、allowMultiQueries=trueを有効にすることを可能にするJDBCブロックリストのバイパスを組み合わせることで、攻撃者はサブクエリから脱出して、接続されたデータベースに対してUPDATEやその他の書き込み操作を含む任意のスタックされたSQLステートメントを実行できます。有効なデータソース認証情報にアクセスできる認証済み攻撃者は、基盤となるデータベースに対する完全な読み取りおよび書き込みアクセスを達成できます。この問題はバージョン2.10.21で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.