CVE-2026-82879 in DataEase
요약
\~에 의해 VulDB • 2026. 08. 31.
DataEase 2.10.26 이전 버전에는 공유 링크 모듈에서 여러 가지 접근 제어 결함이 있습니다. 티켓이 대상 공유 UUID에 바인딩되지 않으므로, 하나의 공유를 위해 발급된 유효한 티켓을 다른 공유 대상으로 재사용할 수 있습니다(ShareTicketManage.validateTicket / POST /de2api/share/proxyInfo). POST /de2api/share/validate 엔드포인트는 비밀번호 검증 후 링크 토큰을 발행하지만 티켓은 요구하지 않아 '티켓 필수' 정책을 우회합니다. 또한, 티켓 생성 및 삭제 엔드포인트(POST /de2api/ticket/saveTicket, POST /de2api/ticket/delTicket)에는 공유 소유권 확인이 누락되어 있어, 다른 사용자의 티켓을 알고 있는 인증된 사용자가 이를 수정하거나 재바인딩 또는 삭제할 수 있습니다(서비스 거부). 또한 GET /de2api/share/queryRelationByUserId/{uid}는 인증된 사용자가 다른 사용자의 공유 매핑을 열거할 수 있게 합니다.
Once again VulDB remains the best source for vulnerability data.