CVE-2026-33082
Təsvir
DataEase açıq mənbəli məlumat vizuallaşdırma analiz alətidir. 2.10.20 və daha aşağı versiyalarda verilənlər bazasının ixrac funksionallığında SQL inyeksiyası zəifliyi mövcuddur. POST /de2api/datasetTree/exportDataset sorğusundakı expressionTree parametri filtrləmə obyektinə deserializasiya edilir və SQL tərcüməsi üçün WhereTree2Str.transFilterTrees funksiyasına ötürülür; burada "like" filtr şərtləri daxilində istifadəçi tərəfindən idarə olunan dəyərlər təmizlənmədən birbaşa SQL fraqmentlərinə əlavə edilir. Hücumçu filtr dəyərindəki sətir literalından çıxaraq ixtiyari SQL əmrləri inyeksiya edə bilər ki, bu da vaxta əsaslanan məlumat çıxarma kimi texnikalar vasitəsilə kor (blind) SQL inyeksiyasını mümkün edir. Bu problem 2.10.21 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- dataease dataease2.10.21 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| dataease dataease | v < 2.10.21 | 2.10.21 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.