CVE-2026-33083 in DataEase
Сводка
по VulDB • 05.06.2026
DataEase — это платформа для визуализации данных и аналитики с открытым исходным кодом. Версии 2.10.20 и более ранние содержат уязвимость SQL Injection в параметре orderDirection, который используется в конечных точках, связанных с наборами данных, включая /de2api/datasetData/enumValueDs и /de2api/datasetTree/exportDataset. Класс Order2SQLObj напрямую присваивает необработанное значение orderDirection, предоставленное пользователем, в SQL-запрос без какой-либо проверки или применения белого списка, и это значение подставляется в предложение ORDER BY через StringTemplate перед выполнением запроса к базе данных. Атакующий, прошедший аутентификацию, может внедрять произвольные SQL-команды через поле направления сортировки, что позволяет осуществлять извлечение данных методом слепой выборки с использованием временных задержек (time-based blind) и вызывать отказ в обслуживании. Эта проблема исправлена в версии 2.10.21.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.