CVE-2026-33082 in DataEase
Sumário
de VulDB • 10/05/2026
DataEase é uma ferramenta de análise e visualização de dados de código aberto. As versões 2.10.20 e anteriores contêm uma vulnerabilidade de injeção de SQL na funcionalidade de exportação de conjuntos de dados. O parâmetro expressionTree em POST /de2api/datasetTree/exportDataset é desserializado em um objeto de filtragem e passado para WhereTree2Str.transFilterTrees para tradução SQL, onde os valores controlados pelo usuário nos termos de filtro "like" são concatenados diretamente em fragmentos SQL sem sanitização. Um atacante pode injetar comandos SQL arbitrários escapando do literal de string no valor do filtro, permitindo injeção de SQL cega por meio de técnicas como extração baseada em tempo de informações do banco de dados. Este problema foi corrigido na versão 2.10.21.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.