CVE-2026-40901

Resumen

DataEase es una plataforma de análisis y visualización de datos de código abierto. Las versiones 2.10.20 y anteriores incluyen el obsoleto velocity-1.7.jar, que incorpora commons-collections-3.2.1.jar, el cual contiene la cadena de gadgets de deserialización InvokerTransformer. Quartz 2.3.2, también incluido en la aplicación, deserializa los BLOBs de datos de trabajos de la tabla qrtz_job_details utilizando ObjectInputStream sin filtro de deserialización ni lista blanca de clases. Un atacante autenticado que pueda escribir en la tabla de trabajos de Quartz, por ejemplo mediante la inyección SQL previamente descrita en previewSql, puede reemplazar el JOB_DATA de un trabajo programado con una carga útil maliciosa de la cadena de gadgets CommonsCollections6. Cuando se activa el disparador cron de Quartz, la carga útil se deserializa y ejecuta comandos arbitrarios como root dentro del contenedor, logrando una ejecución remota de código completa. Este problema se ha corregido en la versión 2.10.21.

• EXPLOIT-CVE-2026-40901Exploit

  Exploit automatizado para DataEase: cadena de 4 vulnerabilidades (omisión de autenticación, omisión de lista de bloqueo JDBC, inyección SQL, deserialización de Java) que logra RCE no autenticado. Incluye laboratorio Docker y PoC en Python.