CVE-2026-40899

Resumo

DataEase é uma plataforma de código aberto de visualização e análise de dados. As versões 2.10.20 e anteriores contêm uma vulnerabilidade de bypass da lista de bloqueio de parâmetros JDBC na configuração da fonte de dados MySQL. A classe Mysql usa a anotação @Data do Lombok, que gera automaticamente um setter público para o campo illegalParameters que contém a lista de bloqueio de segurança JDBC. Quando uma configuração de fonte de dados é enviada como JSON, a desserialização do Jackson chama setIllegalParameters com uma lista vazia fornecida pelo atacante, substituindo a lista de bloqueio antes que a validação getJdbc() seja executada. Isso permite que um atacante autenticado inclua parâmetros JDBC perigosos, como allowLoadLocalInfile=true, e, ao apontar a fonte de dados para um servidor MySQL malicioso, explore o recurso do protocolo LOAD DATA LOCAL INFILE para ler arquivos arbitrários do sistema de arquivos do servidor DataEase, incluindo variáveis de ambiente sensíveis e credenciais de banco de dados. Este problema foi corrigido na versão 2.10.21.

• EXPLOIT-CVE-2026-40901Exploit

  Exploit automatizado para DataEase: cadeia de 4 vulnerabilidades (bypass de autenticação, bypass de lista de bloqueio JDBC, injeção SQL, desserialização Java) alcançando RCE não autenticado. Inclui laboratório Docker e PoC em Python.