CVE-2026-40900 in DataEase
Сводка
по VulDB • 27.05.2026
DataEase — это платформа с открытым исходным кодом для визуализации данных и аналитики. Версии 2.10.20 и более ранние содержат уязвимость SQL Injection в эндпоинте /de2api/datasetData/previewSql. Предоставленный пользователем SQL-запрос оборачивается в подзапрос без проверки того, что входные данные представляют собой единственный оператор SELECT. В сочетании с обходом черного списка JDBC, который позволяет включить параметр allowMultiQueries=true, злоумышленник может выйти из подзапроса и выполнить произвольные составные SQL-операторы, включая UPDATE и другие операции записи, к подключенной базе данных. Аутентифицированный злоумышленник, имеющий доступ к действительным учетным данным источника данных, может получить полный доступ на чтение и запись к базовой базе данных. Эта проблема исправлена в версии 2.10.21.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.