CVE-2026-40901

总结

DataEase 是一个开源的数据可视化与分析平台。2.10.20 及以下版本内置了旧版 velocity-1.7.jar，该包引入了包含 InvokerTransformer 反序列化利用链的 commons-collections-3.2.1.jar。应用中同时捆绑的 Quartz 2.3.2 在从 qrtz_job_details 表反序列化任务数据 BLOB 时，使用 ObjectInputStream 且未设置任何反序列化过滤器或类白名单。已认证的攻击者若能向 Quartz 任务表写入数据（例如通过先前描述的 previewSql 中的 SQL 注入），即可将计划任务的 JOB_DATA 替换为恶意的 CommonsCollections6 利用链载荷。当 Quartz 的 cron 触发器触发时，该载荷会被反序列化，并以容器内 root 身份执行任意命令，从而实现完整的远程代码执行。此问题已在 2.10.21 版本中修复。

来源

• EXPLOIT-CVE-2026-40901漏洞利用

  DataEase 自动化漏洞利用：4 漏洞链（认证绕过、JDBC 黑名单绕过、SQL 注入、Java 反序列化），实现未认证 RCE。包含 Docker 实验环境和 Python PoC。