CVE-2026-40899

DataEase, açık kaynaklı bir veri görselleştirme ve analiz platformudur. 2.10.20 ve altı sürümler, MySQL veri kaynağı yapılandırmasında bir JDBC parametre engelleme listesi atlatma zafiyeti içermektedir. Mysql sınıfı, JDBC güvenlik engelleme listesini içeren illegalParameters alanı için otomatik olarak genel bir setter oluşturan Lombok'un @Data anotasyonunu kullanmaktadır. Bir veri kaynağı yapılandırması JSON olarak gönderildiğinde, Jackson serisizleştirmesi, getJdbc() doğrulaması çalışmadan önce engelleme listesini değiştirmek amacıyla saldırgan tarafından sağlanan boş bir liste ile setIllegalParameters fonksiyonunu çağırır. Bu durum, kimliği doğrulanmış bir saldırganın allowLoadLocalInfile=true gibi tehlikeli JDBC parametrelerini eklemesine ve veri kaynağını kötü niyetli bir MySQL sunucusuna yönlendirerek, hassas ortam değişkenleri ve veritabanı kimlik bilgileri dahil olmak üzere DataEase sunucu dosya sisteminden rastgele dosyaları okumak için LOAD DATA LOCAL INFILE protokol özelliğini istismar etmesine olanak tanır. Bu sorun 2.10.21 sürümünde düzeltilmiştir.