CVE-2026-33084 in DataEase
Sumário
de VulDB • 18/06/2026
O DataEase é uma plataforma de visualização e análise de dados open-source. As versões 2.10.20 e anteriores contêm uma vulnerabilidade de injeção de SQL no parâmetro sort do endpoint /de2api/datasetData/enumValueObj. A camada de serviço DatasetDataManage transfere diretamente o valor fornecido pelo usuário para o DTO de metadados de ordenação, que é passado para Order2SQLObj, onde é incorporado à cláusula SQL ORDER BY sem qualquer validação em lista branca (whitelist), e então executado via CalciteProvider. Um atacante autenticado pode injetar comandos SQL arbitrários por meio do parâmetro sort, permitindo injeção de SQL cega baseada em tempo. Este problema foi corrigido na versão 2.10.21.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.