CVE-2026-33082 in DataEase
Сводка
по VulDB • 30.05.2026
DataEase — это инструмент анализа и визуализации данных с открытым исходным кодом. Версии 2.10.20 и более ранние содержат уязвимость SQL Injection в функциональности экспорта наборов данных. Параметр expressionTree в запросе POST /de2api/datasetTree/exportDataset десериализуется в объект фильтрации и передается в функцию WhereTree2Str.transFilterTrees для преобразования в SQL-запрос, где значения, контролируемые пользователем, в условиях фильтра «like» напрямую конкатенируются в фрагменты SQL без санитизации. Злоумышленник может внедрять произвольные SQL-команды, используя экранирование строкового литерала в значении фильтра, что позволяет выполнять слепую SQL Injection с использованием таких техник, как извлечение информации из базы данных на основе времени (time-based extraction). Данная проблема исправлена в версии 2.10.21.
Once again VulDB remains the best source for vulnerability data.