CVE-2025-70829: Exposición de información en Datart

中文文档

1. Descripción general de la vulnerabilidad

CVE ID: CVE-2025-70829
Producto: Datart
Versión: v1.0.0-rc.3
Tipo de vulnerabilidad: Exposición de información

Una vulnerabilidad de exposición de información en Datart v1.0.0-rc.3 permite a atacantes autenticados acceder a datos sensibles mediante una cadena de conexión JDBC de H2 personalizada. Al guiar a la aplicación para que se conecte a su propio archivo de base de datos interno, los atacantes pueden consultar tablas del sistema que contienen credenciales de usuario y detalles de configuración.

2. Pasos de reproducción

Requisitos previos

• Acceso autenticado al panel de Datart.

Pasos

1. Inicie sesión en el sistema Datart (v1.0.0-rc.3).
2. Navegue a la sección "Fuente de datos".
3. Haga clic para crear una nueva fuente y seleccione el tipo "H2".
4. En la configuración, introduzca la siguiente URL JDBC maliciosa para apuntar al archivo de base de datos interno local:
   root@kitploit:~

   jdbc:h2:file:./bin/h2/datart.demo;MODE=MySQL
   

5. Haga clic en "Probar conexión" para confirmar el acceso a la base de datos interna del sistema.
6. Guarde la fuente de datos.
7. Use el editor SQL (o cree un gráfico con esta fuente) para ejecutar consultas arbitrarias.

3. Recuperación de información sensible

Volcado de credenciales de usuario y falsificación de JWT

Al recuperar el hash de la contraseña del usuario desde la base de datos, los atacantes pueden falsificar un token JWT válido para hacerse pasar por cualquier usuario (por ejemplo, administrador). Esto se debe a que la aplicación usa una clave secreta codificada (d@a$t%a^r&a*t) e incluye el hashCode() de Java del hash de la contraseña en el payload del token.

Consulta SQL:

SELECT id, username, email, password, name FROM user;

Explotación: Use el hash de password recuperado con jwttest.py para generar un token Bearer válido para el inicio de sesión de cualquier usuario.

Volcado y descifrado de fuentes de datos

Los atacantes también pueden recuperar la configuración de otras fuentes de datos conectadas.

Consulta SQL:

SELECT * FROM source;

Descifrado:

El campo config en la tabla source suele estar cifrado mediante AES. La aplicación usa una clave de seguridad codificada por defecto:

Clave de seguridad por defecto: d@a$t%a^r&a*t

Puede usar la utilidad proporcionada Decrypt.java (que incluye esta clave por defecto) para descifrar estos valores y obtener credenciales en texto claro para bases de datos externas.