CVE-2025-49002
Dataease H2 डेटाबेस रिमोट कोड एक्ज़ीक्यूशन (RCE) बायपास भेद्यता
- प्रकाशित
- 3 जून 2025
- अद्यतन
- 4 जून 2025
- सीएनए असाइन करना
- GitHub_M
- साक्ष्य देखे गए
- 25 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xमध्यम · अगले 30 दिन
- प्रतिशत
- 98.9%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
DataEase एक ओपन सोर्स बिजनेस इंटेलिजेंस और डेटा विज़ुअलाइज़ेशन टूल है। संस्करण 2.10.10 से पहले के संस्करणों में CVE-2025-32966 के पैच में एक खामी है जो केस इनसेंसिटिविटी के माध्यम से पैच को बायपास करने की अनुमति देती है, क्योंकि INIT और RUNSCRIPT प्रतिबंधित हैं। यह भेद्यता v2.10.10 में ठीक कर दी गई है। कोई ज्ञात वर्कअराउंड उपलब्ध नहीं हैं।
स्रोत
- DataEase - Remote Code Executionटेम्पलेट
http/cves/2025/CVE-2025-49002.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)
CVE-2025-49002 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, जो PostgreSQL JDBC बायपास के माध्यम से DataEase में एक रिमोट कोड एक्ज़ीक्यूशन भेद्यता है, जिसमें एक क्राफ्टेड HTTP अनुरोध शामिल है।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।