DataEase: Gespeicherte SQL-Injection in Grenzwerten der Gruppenfeld-Klassierung
Zusammenfassung
DataEase, ein Open-Source-Werkzeug zur Datenvisualisierung und -analyse, validiert die Werte min, max, startTime und endTime von Gruppenfeld-Klassierungen in Datensätzen nicht. Diese Werte werden in generierte SQL-CASE-Ausdrücke eingefügt, sodass ein authentifizierter Benutzer SQL-Injection-Payloads speichern kann, die ausgeführt werden, sobald ein Diagramm das Feld verwendet. Eine erfolgreiche Ausnutzung könnte die Vertraulichkeit, Integrität und Verfügbarkeit der angebundenen Backend-Datenbank beeinträchtigen.
Betroffen
- DataEase-Versionen vor 2.10.26
- Früheste betroffene Version: Unbekannt.
Behoben in
- Behoben in DataEase 2.10.26 (Commit 59191a17657b75d0721e428c10bc0065c3310b17).
Umgehung
- Keine vom Hersteller dokumentierte Workaround-Lösung. Ein Update ist die empfohlene Behebung.
Ausnutzung
- Erfordert einen gültigen Login (PR:L) und die Berechtigung, die Gruppenfeld-Klassierung eines Datensatzes zu bearbeiten.
- CISA SSVC: Ausnutzungsstatus poc, nicht automatisierbar.
- Nicht im CISA-KEV-Katalog aufgeführt.
- Keine bestätigte Ausnutzung bekannt.
Unsere Empfehlung
- Alle DataEase-Instanzen und deren genaue Versionen ermitteln.
- Alle Instanzen unter 2.10.26 nach Test auf 2.10.26 oder neuer aktualisieren.
- Bearbeitungsrechte für Datensätze und Diagramme auf Benutzer beschränken, die diese benötigen.
- Bestehende Gruppenfeld-Klassierungen auf ungewöhnliche Werte für min, max, startTime oder endTime prüfen.
- Prüfen, ob die DataEase-Instanz aus dem Internet erreichbar ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-gcr3-cj2q-gj4q github.com
- Fix commit 59191a17657b75d0721e428c10bc0065c3310b17 github.com
- DataEase release v2.10.26 github.com
- Vulners CVE-2026-104142 vulners.com
- VulDB 420320 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:45.
Referenzen der NVD (4)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.