PT-2026-25036
CVE-2026-32140
·
تاريخ النشر
2026-03-12
·
تاريخ التحديث
2026-03-13
الوصف من
CVSS 4.0
9.3
حرجةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Dataease الأقدم من 2.10.20
الوصف
Dataease هي أداة تحليل وتصور البيانات مفتوحة المصدر. قبل الإصدار 2.10.20، كان التحكم في المعلمة
IniFile يسمح للمهاجم بإجبار برنامج تشغيل JDBC على تحميل ملف تكوين يتحكم فيه المهاجم. يمكن لملف التكوين هذا حقن خصائص JDBC خطيرة، مما يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد. تكمن الثغرة الأمنية في الأسلوب getJdbcIniFile، الذي يبحث بشكل مكثف عن ملف تكوين باسم rsjdbc.ini إذا لم يتم تقييده صراحةً. في سياق عنوان URL الخاص بـ JDBC، يمكن للمستخدمين تحديد ملف التكوين عبر معلمات URL، مما يتيح تحميل ملفات عشوائية على الخادم كملفات تكوين JDBC. يتم دعم المعلمة IniFile ضمن خصائص برنامج تشغيل Redshift JDBC بشكل صريح، وتُستخدم لتحميل ملفات التكوين الخارجية.التوصيات
يجب تحديث الإصدارات السابقة للإصدار 2.10.20 إلى الإصدار 2.10.20 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾