DataEase: SQL-Injection in Bezeichnern der Datenquellen-Metadaten

Zusammenfassung

DataEase, ein Open-Source-Werkzeug zur Datenvisualisierung und Datenanalyse, neutralisiert Schema-Namen, Verbindungs-Benutzernamen, Tabellennamen und Datenbanknamen in Metadaten-Operationen von Datenquellen wie getSchema, validate, save und update nicht ausreichend. Diese Werte werden in SQL-Anweisungen eingefügt, die über ein einfaches JDBC Statement ausgeführt werden. Ein authentifizierter Benutzer mit Zugriff auf eine Datenquelle kann solche Bezeichner so gestalten, dass er die Abfragen verändert und beliebiges SQL gegen die verbundene Datenbank mit den gespeicherten Zugangsdaten der Anwendung ausführt. Dies kann die Vertraulichkeit, Integrität und Verfügbarkeit beeinträchtigen, und es ist keine Interaktion eines Opfers erforderlich.

Betroffen

• DataEase-Versionen vor 2.10.26 (gemäss CNA-Eintrag)
• Andere Quellen nennen bis 2.10.25 oder einen Bereich bis 2.10.27; der genaue Bereich ist nicht bestätigt.

Behoben in

• Korrektur-Commit 181bb5cb95a1174f04689b3b6042d5e0c71b782d
• Die Version v2.10.27 ist die im Advisory verlinkte Release-Version. Unbekannt, ob die Korrektur bereits in 2.10.26 enthalten ist.

Umgehung

Unbekannt. Der Hersteller hat keine Workaround-Massnahme veröffentlicht. Bis zur Behebung:

• Berechtigungen zum Erstellen und Bearbeiten von Datenquellen in DataEase auf vertrauenswürdige Benutzer beschränken.
• DataEase vom öffentlichen Internet fernhalten oder nur über VPN oder SSO erreichbar machen.
• Für alle konfigurierten Datenquellen Datenbankkonten mit minimalen Rechten verwenden.

Ausnutzung

• Es ist keine bestätigte Ausnutzung in freier Wildbahn bekannt.
• Die CISA-SSVC-Bewertung führt die Ausnutzung als "poc" und die Automatisierbarkeit als "no" auf.
• Die Verfügbarkeit eines öffentlichen Proof of Concept wird von den Quellen unterschiedlich angegeben; ein PoC ist daher möglich.
• Nicht im CISA-KEV-Katalog aufgeführt. Der EPSS-Wert ist niedrig (ca. 0.003).

Unsere Empfehlung

• Auf DataEase 2.10.27 oder neuer aktualisieren und die korrigierte Version im GitHub-Advisory prüfen.
• Bis zur Behebung Datenquellen-Berechtigungen auf vertrauenswürdige Benutzer beschränken und den Netzwerkzugriff auf DataEase einschränken.
• Datenbankkonten der Datenquellen auf minimale Rechte prüfen und die DataEase-Protokolle auf ungewöhnliche SQL-Fehler oder Metadaten-Anfragen überwachen.
• Prüfen, ob die DataEase-Instanz aus dem Internet erreichbar ist, und sie bei Erreichbarkeit prioritär behandeln.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Fix commit 181bb5cb95a1174f04689b3b6042d5e0c71b782d github.com
• DataEase release v2.10.27 github.com
• GitHub Security Advisory GHSA-8hgp-vw27-hxph github.com
• VulDB entry for CVE-2026-104141 vuldb.com
• OpenCVE record for CVE-2026-104141 app.opencve.io
• Mend record via Vulners vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:45.