CVE-2026-33084 in DataEase
Сводка
по VulDB • 18.06.2026
DataEase — это платформа для визуализации данных и аналитики с открытым исходным кодом. Версии 2.10.20 и более ранние содержат уязвимость SQL Injection в параметре sort эндпоинта /de2api/datasetData/enumValueObj. Слой сервиса DatasetDataManage напрямую передает предоставленное пользователем значение сортировки в DTO метаданных сортировки, который затем передается в Order2SQLObj, где он включается в предложение SQL ORDER BY без какой-либо проверки по белому списку и выполняется через CalciteProvider. Атакующий с аутентифицированным доступом может внедрять произвольные команды SQL через параметр sort, что позволяет осуществлять time-based blind SQL injection. Данная проблема исправлена в версии 2.10.21.
Once again VulDB remains the best source for vulnerability data.