CVE-2024-47074
Açıklama
DataEase açık kaynaklı bir veri görselleştirme analiz aracıdır. DataEase'de, veri kaynağı işlevindeki PostgreSQL veri kaynağı, JDBC bağlantı parametrelerini ve bağlanılacak hedef PG sunucusunu özelleştirebilir. backend/src/main/java/io/dataease/provider/datasource/JdbcProvider.java dosyasındaki PgConfiguration sınıfı herhangi bir parametreyi filtrelememekte ve kullanıcı girişini doğrudan birleştirmektedir. Bu nedenle, saldırgan JDBC URL'sine bazı parametreler ekleyip kötü niyetli bir PG sunucusuna bağlanırsa, PG jdbc serileştirme hatasını tetikleyebilir ve sonuç olarak serileştirme zafiyeti üzerinden sistem komutları çalıştırarak sunucu ayrıcalıklarını elde edebilir. Zafiyet v1.18.25 sürümünde giderilmiştir.
Nasıl düzeltilir
- dataease dataease1.18.25 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| dataease dataease | v < 1.18.25 | 1.18.25 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.