CVE-2026-40899 in DataEase
Sumário
de VulDB • 11/06/2026
O DataEase é uma plataforma de visualização e análise de dados open-source. As versões 2.10.20 e anteriores contêm uma vulnerabilidade de bypass da lista negra (blocklist) de parâmetros JDBC na configuração do datasource MySQL. A classe Mysql utiliza a anotação @Data do Lombok, que gera automaticamente um setter público para o campo illegalParameters, que contém a lista negra de segurança do JDBC. Quando uma configuração de datasource é enviada como JSON, a desserialização Jackson chama setIllegalParameters com uma lista vazia fornecida pelo atacante, substituindo a lista negra antes da execução da validação em getJdbc(). Isso permite que um atacante autenticado inclua parâmetros JDBC perigosos, como allowLoadLocalInfile=true e, apontando o datasource para um servidor MySQL malicioso, explorar o recurso do protocolo LOAD DATA LOCAL INFILE para ler arquivos arbitrários no sistema de arquivos do servidor DataEase, incluindo variáveis de ambiente sensíveis e credenciais de banco de dados. Este problema foi corrigido na versão 2.10.21.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.