CVE-2026-40899

总结

DataEase 是一个开源的数据可视化与分析平台。2.10.20 及以下版本在 MySQL 数据源配置中存在 JDBC 参数黑名单绕过漏洞。Mysql 类使用了 Lombok 的 @Data 注解，该注解会自动为包含 JDBC 安全黑名单的 illegalParameters 字段生成公共 setter 方法。当数据源配置以 JSON 形式提交时，Jackson 反序列化会调用 setIllegalParameters 并传入攻击者提供的空列表，从而在 getJdbc() 校验执行之前替换掉黑名单。这使得已认证的攻击者能够包含诸如 allowLoadLocalInfile=true 之类的危险 JDBC 参数，并通过将数据源指向恶意 MySQL 服务器，利用 LOAD DATA LOCAL INFILE 协议特性读取 DataEase 服务器文件系统中的任意文件，包括敏感的环境变量和数据库凭据。该问题已在 2.10.21 版本中修复。

• EXPLOIT-CVE-2026-40901漏洞利用

  DataEase 自动化漏洞利用：4 漏洞链（认证绕过、JDBC 黑名单绕过、SQL 注入、Java 反序列化），实现未认证 RCE。包含 Docker 实验环境和 Python PoC。