CVE-2026-40901

Resumo

DataEase é uma plataforma de código aberto de visualização e análise de dados. As versões 2.10.20 e anteriores incluem o legado velocity-1.7.jar, que puxa o commons-collections-3.2.1.jar contendo a cadeia de gadgets de desserialização InvokerTransformer. O Quartz 2.3.2, também empacotado na aplicação, desserializa BLOBs de dados de jobs da tabela qrtz_job_details usando ObjectInputStream sem filtro de desserialização ou lista de permissões de classes. Um atacante autenticado que possa escrever na tabela de jobs do Quartz, como por meio da injeção de SQL descrita anteriormente em previewSql, pode substituir o JOB_DATA de um job agendado por uma carga útil maliciosa da cadeia de gadgets CommonsCollections6. Quando o gatilho cron do Quartz dispara, a carga útil é desserializada e executa comandos arbitrários como root dentro do contêiner, alcançando execução remota de código completa. Esse problema foi corrigido na versão 2.10.21.

• EXPLOIT-CVE-2026-40901Exploit

  Exploit automatizado para DataEase: cadeia de 4 vulnerabilidades (bypass de autenticação, bypass de lista de bloqueio JDBC, injeção SQL, desserialização Java) alcançando RCE não autenticado. Inclui laboratório Docker e PoC em Python.