CVE-2026-49867
Təsvir
DataEase açıq mənbəli məlumat vizuallaşdırma və analiz alətidir. Versiya 2.10.23-dən əvvəl, DataEase şablon statik resursları autentifikasiya olunmuş istifadəçilərə POST /de2api/templateManage/save vasitəsilə TemplateManageRequest.staticResource və ya DataVisualizationServer.decompression göndərməyə imkan verir. Bundan sonra StaticResourceServer.saveFilesToServe və StaticResourceServer.saveSingleFileToServe funksiyaları Base64 formatından dekodlaşdırılmış .svg məzmununu genişlənməni, MIME tipini, dekodlaşdırılmış baytları və ya SVG skript yazılma imkanını yoxlamadan /de2api/static-resource/<name>.svg ünvanına yazır ki, bu da qurban resursu yüklədikdə saxlanılan eyni mənşəli saytlararası skriptinqə (XSS) səbəb olur. Bu problem 2.10.23 versiyasında düzəldilib.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| dataease dataease | < 2.10.23 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.