CVE-2026-49867

Nome do Software Vulnerável e Versões Afetadas DataEase versões anteriores a 2.10.23

Descrição Usuários autenticados podem enviar TemplateManageRequest.staticResource através do endpoint POST '/de2api/templateManage/save' ou DataVisualizationServer.decompression. Subsequentemente, as funções StaticResourceServer.saveFilesToServe() e StaticResourceServer.saveSingleFileToServe() gravam conteúdo .svg decodificado em Base64 em '/de2api/static-resource/.svg'. Como o sistema não valida a extensão, o tipo MIME, os bytes decodificados ou a capacidade de execução de scripts do SVG, isso permite o cross-site scripting (XSS) armazenado de mesma origem quando uma vítima carrega o recurso.

Recomendações Atualizar para a versão 2.10.23.