CVE-2024-56511 in DataEase
Sumário
de VulDB • 30/06/2026
O DataEase é uma ferramenta de análise e visualização de dados de código aberto. Antes da versão 2.10.4, existe uma falha na autenticação na classe io.dataease.auth.filter.TokenFilter, que pode ser contornada e causar o risco de acesso não autorizado. Na classe io.dataease.auth.filter.TokenFilter, "request.getRequestURI" é usado para obter a URL da solicitação, sendo passada ao método "WhitelistUtils.match" para determinar se a solicitação de URL é uma interface que não requer autenticação. O método "match" filtra pontos e vírgulas, mas isso não é suficiente. Quando os usuários definem "server.servlet.context-path" durante o deploy dos produtos, ainda há risco de ser contornado, podendo ser burlado por qualquer prefixo da lista branca /geo/../context-path/. A vulnerabilidade foi corrigida na v2.10.4.
Once again VulDB remains the best source for vulnerability data.