CVE-2026-104142
Beschrijving NL
DataEase is een open source data visualisatie en analyse tool. Voorafgaand aan 2.10.26 kunnen geverifieerde gebruikers vervaardigde FieldGroupDTO.min-, FieldGroupDTO.max-, FieldGroupDTO.startTime- of FieldGroupDTO.endTime-waarden opslaan in dataset group-field binning-definities. Utils.transGroupFieldToSql voegt deze vrije-vormwaarden in gegenereerde CASE-EXPRESSIES in zonder validatie, en de resulterende SQL kan ongeparametreerde backend-query-uitvoering bereiken wanneer een grafiek het veld gebruikt. Deze opgeslagen SQL-injectie kan de vertrouwelijkheid, integriteit en beschikbaarheid van de geconfigureerde back-enddatabase in gevaar brengen. Dit probleem is opgelost in versie 2.10.26.
Origineel (Engels) tonen
DataEase is an open source data visualization and analysis tool. Prior to 2.10.26, authenticated users can store crafted FieldGroupDTO.min, FieldGroupDTO.max, FieldGroupDTO.startTime, or FieldGroupDTO.endTime values in dataset group-field binning definitions. Utils.transGroupFieldToSql inserts these free-form values into generated CASE expressions without validation, and the resulting SQL can reach unparameterized backend query execution when a chart uses the field. This stored SQL injection can compromise the confidentiality, integrity, and availability of the configured backend database. This issue is fixed in version 2.10.26.