CVE-2026-33082 in DataEase
요약
\~에 의해 VulDB • 2026. 05. 30.
DataEase는 오픈 소스 데이터 시각화 분석 도구입니다. 버전 2.10.20 및 그 이하 버전에는 데이터셋 내보내기 기능에서 SQL Injection 취약점이 존재합니다. POST /de2api/datasetTree/exportDataset 엔드포인트의 expressionTree 매개변수는 필터링 객체로 역직렬화되어 SQL 변환을 위해 WhereTree2Str.transFilterTrees로 전달되며, 이 과정에서 "like" 필터 조건 내 사용자 제어 값이 무분별하게 정제되지 않은 채 SQL 조각에 직접 연결됩니다. 공격자는 필터 값의 문자열 리터럴을 탈출시켜 임의의 SQL 명령어를 주입할 수 있으며, 이를 통해 데이터베이스 정보의 시간 기반 추출과 같은 기법을 사용하여 Blind SQL Injection을 수행할 수 있습니다. 이 문제는 버전 2.10.21에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.