CVE-2025-49002
Dataease H2 Database Remote Code Execution (RCE) Bypass Vulnerability
- Publicado
- 3 de jun. de 2025
- Atualizado
- 4 de jun. de 2025
- Atribuindo CNA
- GitHub_M
- Evidência observada
- 25 de ago. de 2026
CVSS primário
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XModerado · próximos 30 dias
- Percentil
- 98,9%
- Data do modelo
- 15 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
DataEase é uma ferramenta de business intelligence e visualização de dados de código aberto. Versões anteriores à versão 2.10.10 apresentam uma falha no patch para CVE-2025-32966 que permite que o patch seja contornado por meio de insensibilidade a maiúsculas/minúsculas, pois INIT e RUNSCRIPT são proibidos. A vulnerabilidade foi corrigida na v2.10.10. Não há soluções alternativas conhecidas disponíveis.
Fontes
http/cves/2025/CVE-2025-49002.yaml
Nuclei TemplatesCondições declaradas
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)
Prova de conceito de exploit para CVE-2025-49002, uma vulnerabilidade de execução remota de código no DataEase por meio de bypass do JDBC do PostgreSQL, incluindo uma requisição HTTP personalizada.
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.