CVE-2026-40899

Name of the Vulnerable Software and Affected Versions DataEase versões anteriores a 2.10.21

Description Existe um bypass na lista de bloqueio de parâmetros JDBC na configuração da fonte de dados MySQL. A classe Mysql utiliza a anotação @Data do Lombok, que gera automaticamente um setter público para o campo illegalParameters, que contém a lista de bloqueio de segurança JDBC. Quando a configuração de uma fonte de dados é enviada como JSON, a desserialização do Jackson chama setIllegalParameters() com uma lista vazia fornecida por um invasor, substituindo a lista de bloqueio antes que a validação getJdbc() seja executada. Isso permite que um invasor autenticado inclua parâmetros JDBC perigosos, como allowLoadLocalInfile=true. Ao direcionar a fonte de dados para um servidor MySQL malicioso, o invasor pode explorar o recurso de protocolo LOAD DATA LOCAL INFILE para ler arquivos arbitrários do sistema de arquivos do servidor, incluindo credenciais de banco de dados e variáveis de ambiente sensíveis.

Recommendations Atualizar para a versão 2.10.21.