Podatności DataEase

W DataEase przed wersją 2.10.23 stwierdzono podatność w obsłudze tokenów korporacyjnych. Filtr TokenFilter#doFilter() przekazuje wartość nagłówka X-DE-TOKEN do metody TokenUtils.validate(), która sprawdza jedynie obecność i długość tokena, a następnie funkcja userBOByToken() używa JWT.decode() bez weryfikacji podpisu. Umożliwia to akceptację sfałszowanych tokenów z dowolnymi wartościami uid i oid, gdy licenseValid=true.

W narzędziu DataEase przed wersją 2.10.23 wykryto podatność umożliwiającą zdalne wykonanie kodu (RCE) poprzez połączenie ze źródłem danych Redshift. Atakujący może wczytać kontrolowany plik konfiguracyjny rsjdbc.ini z katalogu tymczasowego, co prowadzi do wykonania kodu w wyniku refleksji podczas normalnego połączenia JDBC.

Dataease, narzędzie do wizualizacji i analizy danych, w wersjach przed 2.10.17 jest podatne na wstrzyknięcie JNDI. Mimo dodania czarnej listy w wersji 2.10.14, atak nadal możliwy jest przez schematy iiop, corbaname oraz iiopname. Podatność została naprawiona w wersji 2.10.17.

DataEase w wersjach 2.10.14 i starszych nieprawidłowo filtruje dane przy nawiązywaniu połączeń JDBC do Oracle, co stwarza ryzyko wstrzyknięcia JNDI. Problem został naprawiony w wersji 2.10.15.

W DataEase w wersjach 2.10.14 i niższych dostawca dodał czarną listę filtrującą ldap:// i ldaps://, jednak pominięto ochronę protokołu dns://, co skutkuje podatnością SSRF. Luka została naprawiona w wersji 2.10.15.

W DataEase w wersjach do 2.10.12 implementacja źródła danych H2 (H2.java) nie weryfikuje, czy podany URL JDBC rozpoczyna się od jdbc:h2. Brak tej walidacji pozwala na spreparowaną konfigurację JDBC, która podstawia sterownik Amazon Redshift i wykorzystuje parametry socketFactory i socketFactoryArg do wywołania org.springframework.context.support.FileSystemXmlApplicationContext lub ClassPathXmlApplicationContext ze zdalnym zasobem XML kontrolowanym przez atakującego, co skutkuje zdalnym wykonaniem kodu. Luka została naprawiona w wersji 2.10.13.

W DataEase w wersjach do 2.10.12 włącznie źródło danych Impala jest podatne na zdalne wykonanie kodu z powodu niewystarczającego filtrowania w metodzie getJdbc klasy io.dataease.datasource.type.Impala. Atakujący mogą konstruować złośliwe ciągi połączenia JDBC wykorzystujące wstrzyknięcie JNDI i wywołujące deserializację RMI, co umożliwia zdalne wykonanie poleceń poprzez edycję źródła danych i podanie spreparowanego ciągu JDBC odwołującego się do zdalnego pliku konfiguracyjnego. Luka została naprawiona w wersji 2.10.13.

W DataEase w wersjach do 2.10.12 poprawka wprowadzona w celu ograniczenia ataków zdalnego wykonania kodu przez deserializację JDBC DB2 objęła czarną listą tylko parametr rmi. Parametr ldap w ciągu połączenia JDBC DB2 nie został filtrowany, co pozwala atakującym wykorzystać ciąg połączenia JDBC DB2 do wywołania podatności SSRF. W nowszych wersjach Javy deserializacja ldap (autoDeserialize) jest domyślnie wyłączona, co uniemożliwia zdalne wykonanie kodu, ale SSRF pozostaje możliwy do wykorzystania. Luka została naprawiona w wersji 2.10.13.

DataEase to narzędzie do wizualizacji i analizy danych o otwartym kodzie źródłowym. Przed wersją 2.10.26 uwierzytelnieni użytkownicy mogą zapisać spreparowany niestandardowy dateFormat dla pola zestawu danych. DatasetTableFieldDTO.dateFormat jest wstawiany bez walidacji do szablonów konwersji dat używanych przez Dimension2SQLObj, CustomWhere2Str, Field2SQLObj, WhereTree2Str i ExtWhere2Str. Gdy wykres renderuje pole w zestawie danych między źródłami, parsowanie Calcite jest pomijane, a spreparowany format może bezpośrednio zmienić generowane SQL.

DataEase to narzędzie do wizualizacji i analizy danych o otwartym kodzie źródłowym. Przed wersją 2.10.26 uwierzytelnieni użytkownicy mogą zapisać spreparowane wartości FieldGroupDTO.min, FieldGroupDTO.max, FieldGroupDTO.startTime lub FieldGroupDTO.endTime w definicjach binowania grup pól zestawu danych. Utils.transGroupFieldToSql wstawia te dowolne wartości do generowanych wyrażeń CASE bez walidacji, a wynikowy SQL może trafić do nieparametryzowanego wykonania zapytania w backendzie, gdy wykres używa tego pola.

DataEase to narzędzie do wizualizacji i analizy danych o otwartym kodzie źródłowym. Uwierzytelnieni użytkownicy z dostępem do źródła danych mogą dostarczyć spreparowane nazwy schematów, nazwy użytkowników połączenia, nazwy tabel lub nazwy baz danych do operacji metadanych źródła danych, w tym przepływów getSchema, validate, save i update. CalciteProvider wstawia te identyfikatory do zapytań metadanych wykonywanych przez zwykły JDBC Statement, co pozwala na zmianę generowanego SQL i uruchomienie go przeciwko skonfigurowanemu backendowi z poświadczeniami źródła danych posiadanymi przez aplikację.

DataEase to open source narzędzie do wizualizacji i analizy danych. Przed 2.10.26 uwierzytelnieni użytkownicy mogący edytować pola zestawu danych i konfigurację wykresu mogą przechować wartość wymiaru zawierającą HTML w wykresie bar-horizontal. Gdy lengthLimit obcina etykietę osi kategorii, configAxisLabelLengthLimit w core/core-frontend/src/views/chart/components/js/panel/common/common_antv.ts pobiera pełną etykietę i przypisuje ją do elementu g2-tooltip-title przez innerHTML. Ofiara, która otworzy pulpit i najedzie na obciętą etykietę, może wykonać JavaScript kontrolowany przez atakującego w sesji DataEase ofiary. Problem jest naprawiony w wersji 2.10.26.

W DataEase przed wersją 2.10.26 uwierzytelniony użytkownik z uprawnieniem do tworzenia folderów może zapisać nazwy zawierające kod HTML. Gdy inny użytkownik otworzy okno dialogowe „Move to” i wpisze tekst w polu wyszukiwania, złośliwy JavaScript zostaje wykonany w jego sesji (XSS).

W systemie DataEase do wersji 3.0.0 wykryto podatność w funkcji Utils.buildCalcField pliku io/dataease/engine/utils/Utils.java. Manipulacja argumentem calculated field prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

Podatność typu directory traversal w DataEase przed wersją 1.18.10 pozwala zdalnemu atakującemu na uzyskanie poufnych informacji poprzez spreparowane żądanie do komponentu StaticResourceController.java.

Wykryto podatność w DataEase w wersjach do 2.10.25/2.10.26. Dotyczy ona funkcji buildTooltip w pliku symbolic-map.ts komponentu Symbolic Map i manipulacji argumentem canvasViewInfo[*].customAttr.tooltip.backgroundColor, co prowadzi do cross site scripting (XSS). Atak można przeprowadzić zdalnie, a projekt został wcześniej poinformowany o problemie, ale nie odpowiedział.

DataEase przed wersją 2.10.26 zawiera wiele defektów kontroli dostępu w module linków udostępniania. Bilety nie są powiązane z docelowym UUID udostępnienia, więc ważny bilet wydany dla jednego udostępnienia może być użyty przeciwko innemu. Endpoint POST /de2api/share/validate wydaje LinkToken po weryfikacji hasła bez wymagania biletu, omijając politykę 'ticket mandatory'. Ponadto endpointy tworzenia i usuwania biletów nie sprawdzają własności udostępnienia, co pozwala uwierzytelnionemu użytkownikowi, który zna bilet innego użytkownika, na modyfikację, ponowne powiązanie lub usunięcie go (denial of service), a GET /de2api/share/queryRelationByUserId/{uid} pozwala uwierzytelnionym użytkownikom na enumerację mapowań udostępnień innych użytkowników.

DataEase przed wersją 2.10.26 pomija kontrolę autoryzacji na poziomie obiektów w endpointach REST dotyczących informacji geograficznych, powiązań dashboardów i szczegółów wykresów, co pozwala uwierzytelnionym użytkownikom na dostęp do zasobów należących do innych użytkowników. Atakujący mogą nadpisywać lub usuwać geometrię map, modyfikować powiązania dashboardów oraz pobierać metadane i konfigurację wykresów dla zasobów, których nie posiadają, podając dowolne identyfikatory w żądaniach.

DataEase to narzędzie do wizualizacji i analizy danych typu open source. Wersje przed 2.10.23 mają podatność na path traversal. Przyczyną jest to, że na systemie Windows separator plików to '\', a serwer filtruje tylko znak '/' podczas skracania ciągów. Luka została naprawiona w wersji 2.10.23. Brak znanych obejść.

Podatność w narzędziu DataEase przed wersją 2.10.23 umożliwia zdalne wykonanie kodu poprzez przesłanie spreparowanego pliku payload.zip za pomocą API Excel /datasource/upload. Atakujący tworzy źródło danych H2 wykorzystujące protokół zip:, a następnie wykonuje zapytanie SQL, które uruchamia prekompilowane aliasy Java w pliku test.mv.db, prowadząc do wykonania dowolnego kodu.

Podatność w narzędziu DataEase przed wersją 2.10.23 umożliwia wykonanie dowolnych zapytań SQL do odczytu danych z podłączonych źródeł danych. Problem występuje w funkcji podglądu SQL, która nie weryfikuje uprawnień dostępu do tabel.

W DataEase przed wersją 2.10.23 uwierzytelnieni użytkownicy mogą przesyłać pliki SVG przez endpointy POST /de2api/templateManage/save lub DataVisualizationServer.decompression. Pliki są zapisywane bez walidacji rozszerzenia, typu MIME ani zawartości, co umożliwia przechowywanie złośliwych skryptów SVG i prowadzi do ataku XSS w kontekście tej samej domeny.

W DataEase przed wersją 2.10.23 zestawy danych typu SQL przechowują kontrolowane przez atakującego wartości domyślne zmiennych SQL, takie jak ${var}, a funkcja SqlparserUtils.handleVariableDefaultValue() wstawia je za pomocą String.replace() bez odpowiedniego escapingu lub parametryzacji, co prowadzi do podatności na wstrzyknięcie SQL (SQL injection) za każdym razem, gdy użytkownik z uprawnieniami do odczytu zestawu danych uzyska do niego dostęp.

W narzędziu DataEase przed wersją 2.10.23 wykryto podatność polegającą na braku walidacji ścieżek w API do masowego usuwania eksportów. Atakujący może wykorzystać sekwencje typu ../ do usunięcia dowolnych katalogów na serwerze poprzez funkcję czyszczenia zadań eksportu.

W DataEase przed wersją 2.10.23 wykryto podatność polegającą na braku walidacji ścieżek w endpointach związanych z zapisem szablonów. Atakujący może wykorzystać kontrolowane nazwy zasobów statycznych oraz zawartość Base64 do przeprowadzenia ataku typu path traversal i zapisu dowolnych plików na serwerze.

W narzędziu DataEase przed wersją 2.10.23 stwierdzono podatność na wstrzykiwanie SQL w funkcji sprawdzania stanu połączenia ze źródłem danych. Atakujący może wykorzystać parametr schema w zapytaniu SQL, co prowadzi do nieautoryzowanego dostępu do danych.

W narzędziu DataEase przed wersją 2.10.23 stwierdzono podatność na wstrzykiwanie SQL. Zmienne SQL dashboardu, takie jak ${deptId}, są przetwarzane przez funkcję SqlparserUtils.transFilter(), która dla operatorów innych niż 'in' i 'between' zwraca nieprzetworzone dane wejściowe użytkownika, a następnie są one wstawiane do zapytania SQL bez odpowiedniego oczyszczenia. Umożliwia to uwierzytelnionym użytkownikom z dostępem do dashboardu wstrzykiwanie złośliwego kodu SQL do zintegrowanych źródeł danych.

W narzędziu DataEase przed wersją 2.10.24 wykryto podatność polegającą na użyciu zakodowanego na stałe domyślnego klucza sygnatury do linków udostępniania. Atakujący, znając ten klucz (link-pwd-fit2cloud), może sfałszować tokeny JWT i uzyskać dostęp do zasobów backendu jako twórca udostępnienia, nawet jeśli oryginalne udostępnienie zostało cofnięte.

W narzędziu DataEase przed wersją 2.10.24, komponenty tekstowe dashboardu renderują przechowywaną treść za pomocą Vue v-html bez sanitacji HTML po stronie serwera. Umożliwia to uwierzytelnionemu użytkownikowi, który może edytować dane komponentów dashboardu, wstrzyknięcie HTML z wykonywalnymi procedurami obsługi zdarzeń, które uruchamiają się, gdy inny użytkownik lub gość z linkiem udostępnionym wyświetli dashboard.

W DataEase przed wersją 2.10.24 filtry kwot i osi Y osadzają wartości kontrolowane przez atakującego bezpośrednio w generowanym SQL w metodzie Quota2SQLObj.getYWheres(), bez walidacji literałów SQL i escapingu stosowanego w innych ścieżkach filtrów. Umożliwia to uwierzytelnionemu użytkownikowi, który może tworzyć lub modyfikować definicje wykresów albo przesyłać żądania danych wykresu zawierające filtry kwot, wstrzyknięcie SQL do zapytań wykonywanych wobec skonfigurowanych źródeł danych.

W DataEase przed wersją 2.10.24 odkryto podatność umożliwiającą ominięcie zabezpieczeń protokołu H2 zip i mechanizmu blokowania plików. Uwierzytelniony atakujący może przesłać archiwum zip zamaskowane rozszerzeniem .ttf przez FontManage.saveFile, a następnie wykorzystać je przez protokół zip do zdalnego wykonania kodu.

W narzędziu DataEase przed wersją 2.10.24 moduł zarządzania czcionkami umożliwia uwierzytelnionym użytkownikom podanie dowolnej wartości w polu fileTransName podczas tworzenia rekordu czcionki. Przy usuwaniu rekordu wartość ta jest łączona ze ścieżką katalogu czcionek i przekazywana do funkcji FileUtils.deleteFile() bez sanityzacji ścieżki, co pozwala na usunięcie dowolnych zapisywalnych plików w kontenerze aplikacji.

W narzędziu DataEase przed wersją 2.10.24 wykryto podatność polegającą na obejściu walidacji ciągów połączeń JDBC bazy danych H2. Specjalne znaki Unicode, które różnią się konwersją wielkości liter między walidacją DataEase a parsowaniem H2, umożliwiają atakującemu przemycenie niebezpiecznych parametrów (np. init) i zdalne wykonanie kodu.

W narzędziu DataEase przed wersją 2.10.24 brakuje adnotacji @DePermit w punkcie końcowym /de2api/datasetData/previewSql, co pozwala uwierzytelnionemu użytkownikowi na wykonanie dowolnych zapytań SQL do wbudowanej bazy danych i odczyt wrażliwych danych.

W narzędziu DataEase przed wersją 2.10.24 uwierzytelniony użytkownik może manipulować parametrem identyfikatora zadania, aby pobierać, usuwać, ponawiać lub generować linki do pobierania zadań eksportu należących do innych użytkowników. Dodatkowo, endpoint /exportCenter/download/{id} jest wyłączony z uwierzytelniania, co umożliwia nieuwierzytelnionym osobom dostęp do wyeksportowanych plików.

W narzędziu DataEase przed wersją 2.10.24 interfejs danych wykresu w trybie udostępniania nie sprawdza, czy identyfikatory tabeli i pól w żądaniu należą do udostępnionego zasobu. Osoba atakująca posiadająca ważny token linku udostępniania może podmienić identyfikatory zestawu danych i uzyskać nieautoryzowany dostęp do danych przez endpoint POST /de2api/chartData/getData.

W narzędziu DataEase przed wersją 2.10.24 interfejs /de2api/share/proxyInfo generuje i zwraca token X-DE-LINK-TOKEN przed walidacją hasła lub biletu udostępniania. Umożliwia to nieuwierzytelnionym atakującym, znającym identyfikator UUID chronionego udostępnienia, uzyskanie ważnego tokena linku do dalszych wywołań API związanych z udostępnianiem, nawet przy braku lub nieprawidłowych poświadczeniach.

DataEase w wersjach 2.10.13 i wcześniejszych ma podatność na wstrzyknięcie SQL w interfejsie /de2api/datasetData/tableField. Atakujący może skonstruować złośliwy parametr tableName, aby wykonać dowolne polecenia SQL.

W DataEase w wersjach do 2.10.13 występuje podatność na przechowywany XSS wynikająca z niewłaściwej walidacji przesyłanych plików i obejścia uwierzytelniania. Interfejs StaticResourceApi definiuje trasę upload/{fileId}, która pozwala użytkownikom kontrolować nazwę i rozszerzenie pliku; TokenFilter uznaje ścieżki kończące się na .js za bezpieczne i pomija kontrolę uprawnień, co umożliwia przesłanie plików HTML ze złośliwym JavaScriptem.

DataEase w wersji do 2.10.13 zawiera podatność obejścia sterownika JDBC w obsłudze połączeń z bazą H2. Funkcja getJdbc w H2.java sprawdza, czy jdbcUrl zaczyna się od jdbc:h2, ale zwraca osobne pole jdbc jako rzeczywisty URL połączenia. Atakujący może podać jdbcUrl zaczynający się od jdbc:h2, dostarczając inne pole jdbc z dowolnym sterownikiem i ciągiem połączenia, co pozwala uwierzytelnionemu atakującemu na wywołanie dowolnych połączeń JDBC ze złośliwymi sterownikami, potencjalnie prowadząc do zdalnego wykonania kodu. Podatność naprawiono w wersji 2.10.14.

W DataEase w wersjach do 2.10.13 występuje podatność wstrzyknięcia JDBC URL w obsłudze konfiguracji źródeł danych DB2 i MongoDB. W obsłudze DB2, gdy pole extraParams jest puste, wartości HOSTNAME, PORT i DATABASE są bezpośrednio łączone w JDBC URL bez filtrowania nielegalnych parametrów, co pozwala atakującemu wstrzyknąć złośliwy ciąg JDBC w pole HOSTNAME i obejść wcześniej naprawione podatności CVE-2025-57773 i CVE-2025-58045. Podatność naprawiono w wersji 2.10.14; nie istnieją znane obejścia.

DataEase to narzędzie do analizy wizualizacji danych, które przed wersją 1.18.9 miało podatność na wstrzyknięcie SQL, umożliwiającą obejście czarnych list. Podatność została naprawiona w wersji 1.18.9.

DataEase to narzędzie do analizy wizualizacji danych, które w dotkniętych wersjach ma brakujące sprawdzenie autoryzacji. Umożliwia to nieautoryzowanym użytkownikom manipulację pulpitami stworzonymi przez administratora.

DataEase, narzędzie do analizy wizualizacji danych, ma podatność na obejście uprawnień, która pozwala zwykłym użytkownikom uzyskać dostęp do bazy danych użytkowników. Ujawnione informacje obejmują hashe md5 haseł, nazwy użytkowników, adresy e-mail oraz numery telefonów.

DataEase to narzędzie do analizy wizualizacji danych, które w dotkniętych wersjach pozwala nieautoryzowanym użytkownikom na usunięcie aplikacji. Podatność została naprawiona w wersji 1.18.8.