CVE-2026-33084 in DataEase
요약
\~에 의해 VulDB • 2026. 06. 02.
DataEase는 오픈소스 데이터 시각화 및 분석 플랫폼입니다. 2.10.20 이하 버전은 /de2api/datasetData/enumValueObj 엔드포인트의 sort 파라미터에서 SQL Injection 취약점을 포함하고 있습니다. DatasetDataManage 서비스 레이어는 사용자가 제공한 sort 값을 정렬 메타데이터 DTO로 직접 전달하며, 이는 Order2SQLObj로 전달되어 화이트리스트 검증 없이 SQL ORDER BY 절에 통합된 후 CalciteProvider를 통해 실행됩니다. 인증된 공격자는 sort 파라미터를 통해 임의의 SQL 명령어를 주입하여 시간 기반 블라인드 SQL Injection을 수행할 수 있습니다. 이 문제는 버전 2.10.21에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.