CVE-2026-32939
Açıklama
DataEase, açık kaynaklı bir veri görselleştirme analiz aracıdır. 2.10.19 ve altı sürümlerde, JDBC URL doğrulama mantığı ile H2 JDBC motorunun dahili ayrıştırması arasında tutarsız Locale işleme mevcuttur. DataEase, açık bir Locale belirtmeden String.toUpperCase() kullanmaktadır; bu durum güvenlik kontrollerinin JVM'nin varsayılan çalışma zamanı yereline dayanmasına neden olurken, H2 JDBC URL'leri her zaman Locale.ENGLISH kullanarak normalize eder. Türkçe yerel ayarlı ortamlarda (tr_TR), Java küçük 'i' harfini standart 'I' yerine 'İ' (noktalı büyük I) harfine dönüştürür; böylece 'iNIT' gibi kötü niyetli bir parametre, DataEase filtresinde 'İNİT' haline gelerek kara listeyi atlatırken, H2 bunu hala doğru şekilde 'INIT' olarak yorumlar. Bu tutarsızlık, saldırganların tehlikeli JDBC parametrelerini DataEase'in güvenlik doğrulamasına rağmen sızdırmasına olanak tanır ve sorun, etkilenen bölgesel ayarlarda çalışan gerçek DataEase dağıtım senaryolarında istismar edilebilir olduğu onaylanmıştır. Sorun 2.10.20 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- dataease dataease2.10.20 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| dataease dataease | v < 2.10.20 | 2.10.20 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.