Vulnerabilidades

DataEase es una herramienta de código abierto de visualización y análisis de datos. Antes de la 2.10.23, la gestión de tokens de la edición empresarial de DataEase puede hacer que TokenFilter#doFilter() pase valores X-DE-TOKEN a TokenUtils.validate(), que solo comprueba la presencia y la longitud del token antes de…

DataEase es una herramienta de código abierto de visualización y análisis de datos. Antes de la 2.10.23, las conexiones a orígenes de datos Redshift de DataEase pueden cargar una configuración rsjdbc.ini controlada por el atacante desde System.getProperty("java.io.tmpdir"), estableciendo…

Dataease es una herramienta de análisis de visualización de datos de código abierto. Anterior a la versión 2.10.20, al controlar el parámetro IniFile, un atacante puede forzar al controlador JDBC a cargar un archivo de configuración controlado por el atacante. Este archivo de configuración puede inyectar propiedades…

Dataease es una herramienta de análisis de visualización de datos de código abierto. Antes de la 2.10.20, el parámetro table para /de2api/datasource/previewData se concatena directamente en la sentencia SQL sin ningún tipo de filtrado o parametrización. Dado que tableName es una cadena controlable por el usuario, los…

Un problema en DataEase v1 permite a un atacante ejecutar código arbitrario a través de los componentes de cuenta de usuario y contraseña.

DataEase es una herramienta de análisis de visualización de datos de código abierto. Antes de la versión 2.10.4, existe una falla en la autenticación en la clase io.dataease.auth.filter.TokenFilter, que se puede omitir y provocar el riesgo de acceso no autorizado. En la clase io.dataease.auth.filter.TokenFilter, se…

DataEase es una herramienta de análisis de visualización de datos de código abierto. Antes de la versión 2.10.2, DataEase permite a los atacantes falsificar JWT y tomar el control de los servicios. El secreto de JWT está codificado en el código, y el UID y el OID también están codificados. La vulnerabilidad se ha…

DataEase es una herramienta de análisis de visualización de datos de código abierto que ayuda a los usuarios a analizar rápidamente los datos y obtener información sobre las tendencias comerciales. En las versiones afectadas, la falta de verificación de firma de los tokens JWT permite a los atacantes falsificar JWT…

DataEase es una herramienta de análisis de visualización de datos de código abierto. En DataEase, la fuente de datos PostgreSQL en la función de fuente de datos puede personalizar los parámetros de conexión JDBC y el servidor PG de destino al que se conectará. En…

DataEase es una herramienta de análisis de visualización de datos de código abierto. Antes de la versión 2.10.1, un atacante podía ejecutar comandos de forma remota agregando una cadena de conexión de fuente de datos h2 cuidadosamente construida. La vulnerabilidad se ha corregido en la versión 2.10.1.

Dataease es una herramienta de análisis de visualización de datos de código abierto. Existe una vulnerabilidad de deserialización en la fuente de datos de DataEase, que puede explotarse para ejecutar código arbitrario. La ubicación del código de vulnerabilidad es…

DataEase es una herramienta de análisis de visualización de datos de código abierto. Antes de la versión 1.18.9, DataEase tiene una vulnerabilidad de inyección SQL que puede eludir las listas negras. La vulnerabilidad se ha corregido en v1.18.9. No hay soluciones alternativas conocidas.

DataEase es una herramienta de código abierto para la visualización y el análisis de datos. Antes de la versión 1.18.7, existe una vulnerabilidad de deserialización en el origen de datos de DataEase que puede explotarse para ejecutar código arbitrario. La vulnerabilidad se ha corregido en la versión 1.18.7. No existen…

Dataease es una herramienta de código abierto para la visualización y el análisis de datos. La lista negra de protección contra inyección SQL carece de algunas entradas. Esta vulnerabilidad se ha corregido en la versión 1.18.5. No existen soluciones alternativas conocidas.

Dataease es una herramienta de análisis de visualización de datos de código abierto. Dataease versiones anteriores a 1.15.2, presenta una vulnerabilidad de deserialización. En Dataease, la fuente de datos Mysql en la función de fuente de datos puede personalizar los parámetros de conexión JDBC y el objetivo del…

Se descubrió que DataEase v1.11.1 contiene una vulnerabilidad de escritura arbitraria de archivos a través del parámetro dataSourceId

Un problema en el componente /api/plugin/upload de Dataease v1.11.1, permite a atacantes ejecutar código arbitrario por medio de un plugin diseñado