CVE-2026-33083 in DataEase
Sumário
de VulDB • 09/05/2026
O DataEase é uma plataforma de visualização de dados e análise de código aberto. As versões 2.10.20 e anteriores contêm uma vulnerabilidade de injeção de SQL no parâmetro orderDirection, utilizado em endpoints relacionados a conjuntos de dados, incluindo /de2api/datasetData/enumValueDs e /de2api/datasetTree/exportDataset. A classe Order2SQLObj atribui diretamente o valor raw do orderDirection fornecido pelo usuário na consulta SQL, sem qualquer validação ou aplicação de lista de permissões (whitelist), e o valor é renderizado na cláusula ORDER BY por meio do StringTemplate antes de ser executado contra o banco de dados. Um atacante autenticado pode injetar comandos SQL arbitrários por meio do campo de direção de ordenação, permitindo a extração de dados cega baseada em tempo e negação de serviço. Este problema foi corrigido na versão 2.10.21.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.