CVE-2026-40899

Resumen

DataEase es una plataforma de código abierto de visualización y análisis de datos. Las versiones 2.10.20 y anteriores contienen una vulnerabilidad de omisión de la lista de bloqueo de parámetros JDBC en la configuración del origen de datos MySQL. La clase Mysql utiliza la anotación @Data de Lombok, que genera automáticamente un setter público para el campo illegalParameters que contiene la lista de bloqueo de seguridad JDBC. Cuando una configuración de origen de datos se envía como JSON, la deserialización de Jackson llama a setIllegalParameters con una lista vacía proporcionada por el atacante, reemplazando la lista de bloqueo antes de que se ejecute la validación de getJdbc(). Esto permite que un atacante autenticado incluya parámetros JDBC peligrosos como allowLoadLocalInfile=true y, al apuntar el origen de datos a un servidor MySQL malicioso, explote la función del protocolo LOAD DATA LOCAL INFILE para leer archivos arbitrarios del sistema de archivos del servidor DataEase, incluidas variables de entorno sensibles y credenciales de bases de datos. Este problema se ha corregido en la versión 2.10.21.

• EXPLOIT-CVE-2026-40901Exploit

  Exploit automatizado para DataEase: cadena de 4 vulnerabilidades (omisión de autenticación, omisión de lista de bloqueo JDBC, inyección SQL, deserialización de Java) que logra RCE no autenticado. Incluye laboratorio Docker y PoC en Python.