Impatto Sistemico

Alto (74.48)

Sintesi

Disponibile Proof of Concept (PoC) per lo sfruttamento di 3 vulnerabilità presenti in DataEase, piattaforma open-source per data visualization e business intelligence (BI).

Tipologia

• Arbitrary File Read
• Information Disclosure
• Remote Code Execution

Descrizione e potenziali impatti

Disponibile un Proof of Concept (PoC) per lo sfruttamento della catena delle vulnerabilità identificate tramite CVE-2026-40899 , CVE-2026-40900 e CVE-2026-40901 , di tipo “Arbitrary File Read” e “Remote Code Execution” , relative a DataEase.

Il processo inizia dalla possibilità, per un attaccante remoto, di ottenere le credenziali del database interno abilitando la lettura di file locali (CVE-2026-40899) attraverso l’utilizzo di API che permettono di alterare i parametri JDBC.

L’utente malintenzionato, con le credenziali ottenute, è in grado di scrivere dati arbitrari nel database applicativo sfruttando l’endpoint previewSQL , che non effettua la validazione delle query immesse dall’utente (CVE-2026-40900).

L’attaccante può quindi aggiungere attività malevole nel job scheduler Quartz che esegue i task, inseriti precedentemente nel database, con privilegi di root , ottenendo una reverse shell (CVE-2026-40901).

Prodotti e versioni affette

DataEase

• versioni precedenti alla 2.10.21

Azioni di mitigazione

Ove non già provveduto, si raccomanda l’applicazione delle patch di sicurezza più recenti fornite dal produttore.