CVE-2026-40901
Açıklama
DataEase, açık kaynaklı bir veri görselleştirme ve analiz platformudur. 2.10.20 ve altı sürümler, InvokerTransformer serileştirme çözücü (deserialization) araç zincirini içeren commons-collections-3.2.1.jar dosyasını beraberinde getiren eski velocity-1.7.jar ile birlikte sunulmaktadır. Uygulamaya dahil edilen Quartz 2.3.2 ise, herhangi bir serileştirme çözücü filtresi veya sınıf izin listesi olmaksızın ObjectInputStream kullanarak qrtz_job_details tablosundaki iş verisi BLOB'larını serileştirmeden geri yüklemektedir. previewSql içerisindeki daha önce açıklanan SQL enjeksiyonu aracılığıyla Quartz iş tablosuna yazabilen kimliği doğrulanmış bir saldırgan, zamanlanmış bir işin JOB_DATA kısmını kötü amaçlı bir CommonsCollections6 araç zinciri yüküyle değiştirebilir. Quartz cron tetikleyicisi çalıştığında, yük serileştirmeden geri yüklenir ve konteyner içinde root olarak rastgele komutlar çalıştırarak tam uzaktan kod çalıştırma sağlar. Bu sorun 2.10.21 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- dataease dataease2.10.21 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| dataease dataease | v < 2.10.21 | 2.10.21 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.