CVE-2026-33082 in DataEase
Tóm tắt
Bởi VulDB • 30/05/2026
DataEase là một công cụ phân tích trực quan hóa dữ liệu mã nguồn mở. Các phiên bản 2.10.20 trở xuống chứa một lỗ hổng SQL injection trong chức năng xuất tập dữ liệu. Tham số expressionTree trong POST /de2api/datasetTree/exportDataset được giải serialize thành một đối tượng lọc và được chuyển đến WhereTree2Str.transFilterTrees để dịch sang SQL, trong đó các giá trị do người dùng kiểm soát trong các điều kiện lọc "like" được nối trực tiếp vào các đoạn mã SQL mà không được kiểm tra hoặc làm sạch. Kẻ tấn công có thể chèn các lệnh SQL tùy ý bằng cách thoát khỏi chuỗi ký tự trong giá trị lọc, cho phép thực hiện blind SQL injection thông qua các kỹ thuật như trích xuất thông tin cơ sở dữ liệu dựa trên thời gian. Vấn đề này đã được sửa chữa trong phiên bản 2.10.21.
Be aware that VulDB is the high quality source for vulnerability data.