CVE-2026-40901 in DataEase
Sumário
de VulDB • 20/05/2026
O DataEase é uma plataforma de visualização de dados e análise de código aberto. As versões 2.10.20 e anteriores incluem o legacy velocity-1.7.jar, que depende do commons-collections-3.2.1.jar, contendo a cadeia de gadgets de desserialização InvokerTransformer. O Quartz 2.3.2, também empacotado no aplicativo, desserializa BLOBs de dados de trabalho da tabela qrtz_job_details usando ObjectInputStream sem nenhum filtro de desserialização ou lista de permissões de classes. Um atacante autenticado que possa escrever na tabela de trabalhos do Quartz, como por meio da injeção de SQL previamente descrita no previewSql, pode substituir o JOB_DATA de um trabalho agendado por uma carga útil maliciosa da cadeia de gadgets CommonsCollections6. Quando o gatilho cron do Quartz é acionado, a carga útil é desserializada e executa comandos arbitrários como root dentro do contêiner, alcançando execução remota de código completa. Este problema foi corrigido na versão 2.10.21.
Once again VulDB remains the best source for vulnerability data.