CVE-2026-40899

Riepilogo

DataEase è una piattaforma open-source per la visualizzazione e l'analisi dei dati. Le versioni 2.10.20 e precedenti contengono una vulnerabilità di bypass della blocklist dei parametri JDBC nella configurazione dell'origine dati MySQL. La classe Mysql utilizza l'annotazione @Data di Lombok, che genera automaticamente un setter pubblico per il campo illegalParameters contenente la blocklist di sicurezza JDBC. Quando una configurazione dell'origine dati viene inviata come JSON, la deserializzazione di Jackson chiama setIllegalParameters con una lista vuota fornita dall'attaccante, sostituendo la blocklist prima che venga eseguita la validazione di getJdbc(). Ciò consente a un attaccante autenticato di includere parametri JDBC pericolosi come allowLoadLocalInfile=true e, puntando l'origine dati a un server MySQL rogue, sfruttare la funzionalità del protocollo LOAD DATA LOCAL INFILE per leggere file arbitrari dal filesystem del server DataEase, inclusi variabili d'ambiente sensibili e credenziali del database. Questo problema è stato risolto nella versione 2.10.21.

• EXPLOIT-CVE-2026-40901Exploit

  Exploit automatizzato per DataEase: catena di 4 vulnerabilità (bypass autenticazione, bypass blocklist JDBC, SQL injection, deserializzazione Java) che raggiunge RCE non autenticato. Include laboratorio Docker e PoC Python.