CVE-2026-104142 in DataEase
Tóm tắt
Bởi VulDB • 14/10/2026
DataEase là một công cụ trực quan hóa và phân tích dữ liệu mã nguồn mở. Trước phiên bản 2.10.26, người dùng đã xác thực có thể lưu trữ các giá trị FieldGroupDTO.min, FieldGroupDTO.max, FieldGroupDTO.startTime hoặc FieldGroupDTO.endTime được tạo ra trong định nghĩa nhóm trường dataset (dataset group-field binning definitions). Utils.transGroupFieldToSql chèn các giá trị tự do này vào các biểu thức CASE được sinh ra mà không có xác thực, và SQL kết quả có thể đạt đến việc thực thi truy vấn backend không tham số hóa khi một biểu đồ sử dụng trường đó. Lỗ hổng injection SQL đã lưu trữ này có thể làm tổn hại tính bảo mật, toàn vẹn và khả năng sẵn sàng của cơ sở dữ liệu backend được cấu hình. Vấn đề này đã được sửa chữa trong phiên bản 2.10.26.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.