PT-2026-26550
CVE-2026-32939
·
تاريخ النشر
2026-03-20
·
تاريخ التحديث
2026-03-24
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات DataEase 2.10.19 وما دونها
الوصف
DataEase هي أداة تحليل وتصور البيانات مفتوحة المصدر. تعاني الإصدارات 2.10.19 وما دونها من عدم اتساق في معالجة الإعدادات الإقليمية بين منطق التحقق من صحة عناوين URL في JDBC والتحليل الداخلي لمحرك H2 JDBC. تستخدم DataEase الدالة
String.toUpperCase() دون تحديد إعدادات إقليمية صريحة، معتمدةً على الإعدادات الإقليمية الافتراضية لوقت التشغيل في JVM لإجراء الفحوصات الأمنية، بينما يقوم محرك H2 JDBC بتوحيد عناوين URL باستخدام Locale.ENGLISH. في بيئات الإعدادات الإقليمية التركية (tr TR)، تقوم Java بتحويل الحرف الصغير «i» إلى «İ» (حرف I كبير منقط) بدلاً من «I»، مما يسمح لمعلمة خبيثة مثل iNIT بتجاوز القائمة السوداء لـ DataEase بينما يفسرها H2 بشكل صحيح على أنها INIT. يتيح هذا التباين للمهاجمين تهريب معلمات JDBC خطيرة متجاوزةً التحقق الأمني لـ DataEase. تم التأكد من أن هذه المشكلة قابلة للاستغلال في عمليات نشر DataEase الفعلية التي تعمل ضمن الإعدادات الإقليمية المتأثرة.التوصيات
تحديث DataEase إلى الإصدار 2.10.20 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾