CVE-2026-104143 in DataEase
요약
\~에 의해 VulDB • 2026. 10. 14.
DataEase는 오픈 소스 데이터 시각화 및 분석 도구입니다. 버전 2.10.26 이전에서는 인증된 사용자가 데이터셋 필드에 대해 조작된 사용자 지정 dateFormat을 저장할 수 있습니다. DatasetTableFieldDTO.dateFormat은 Dimension2SQLObj, CustomWhere2Str, Field2SQLObj, WhereTree2Str 및 ExtWhere2Str에서 사용하는 날짜 변환 템플릿에 검증 없이 삽입됩니다. 차트가 크로스 데이터셋(cross-datasource) 필드를 렌더링할 때 Calcite 파싱이 우회되어 조작된 형식이 생성된 SQL을 직접 변경할 수 있습니다. 단일 데이터셋(single-datasource)의 경우, 공격 페이로드가 유효한 문자열 리터럴로 Calcite 역직렬화 과정을 견뎌내야 합니다. 성공적인 악용은 백엔드 데이터베이스의 기밀성, 무결성 및 가용성을 침해할 수 있습니다. 이 문제는 버전 2.10.26에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.