CVE-2025-62421

DataEase, bir veri görselleştirme ve analiz platformudur. DataEase'in 2.10.13 ve öncesi sürümlerinde, hatalı dosya yükleme doğrulaması ve kimlik doğrulama atlatma nedeniyle kalıcı siteler arası betik çalıştırma (XSS) güvenlik açığı bulunmaktadır. StaticResourceApi arayüzü, yüklenen dosyaların hem dosya adının hem de uzantısının kullanıcılar tarafından kontrol edilebildiği bir URL yol parametresi kullanan upload/{fileId} rotasını tanımlar. İzin doğrulaması sırasında TokenFilter, URL yolunun izin listesinde olup olmadığını belirlemek için WhitelistUtils#match yöntemini çağırır. requestURI .js veya benzer uzantılarla bitiyorsa doğrudan güvenli kabul edilir ve izin kontrolleri atlatılır. Bu, bir saldırganın rastgele dosya uzantıları belirterek "upload/1.js" adresine erişmesine ve kötü amaçlı JavaScript içeren HTML dosyaları yüklemesine olanak tanır. Güvenlik açığı 2.10.14 sürümünde düzeltilmiştir. Bilinen bir geçici çözüm yoktur.