CVE-2026-40901
DataEase: Deserializzazione di Quartz → Esecuzione di Codice Remota
- Pubblicato
- 16 apr 2026
- Aggiornato
- 17 apr 2026
- Assegnazione CNA
- GitHub_M
- Evidenza osservata
- 28 ago 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBasso · prossimi 30 giorni
- Percentile
- 54,2%
- Data del modello
- 13 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
DataEase è una piattaforma open-source per la visualizzazione e l'analisi dei dati. Le versioni 2.10.20 e precedenti includono la legacy velocity-1.7.jar, che richiama commons-collections-3.2.1.jar contenente la catena di gadget di deserializzazione InvokerTransformer. Anche Quartz 2.3.2, incluso nell'applicazione, deserializza i BLOB dei dati dei job dalla tabella qrtz_job_details utilizzando ObjectInputStream senza filtro di deserializzazione né allowlist di classi. Un attaccante autenticato che può scrivere nella tabella dei job di Quartz, ad esempio tramite l'iniezione SQL precedentemente descritta in previewSql, può sostituire il JOB_DATA di un job pianificato con un payload della catena di gadget CommonsCollections6 malevolo. Quando il trigger cron di Quartz scatta, il payload viene deserializzato ed esegue comandi arbitrari come root all'interno del container, ottenendo la piena esecuzione remota di codice. Questo problema è stato corretto nella versione 2.10.21.
Fonti
- EXPLOIT-CVE-2026-40901Exploit
Exploit automatizzato per DataEase: catena di 4 vulnerabilità (bypass autenticazione, bypass blocklist JDBC, SQL injection, deserializzazione Java) che raggiunge RCE non autenticato. Include laboratorio Docker e PoC Python.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.