CVE-2026-33121: podatność SQL injection w DataEase

Co wiadomo

W wersjach DataEase 2.10.20 i starszych wykryto podatność SQL injection w procesie zapisywania źródła danych przez API. Atakujący z uprawnieniami może wstrzyknąć złośliwe polecenia SQL, wykorzystując brak sanitizacji nazwy tabeli.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionemu atakującemu wykonanie zapytań SQL, co może prowadzić do wycieku informacji z bazy danych, np. wersji MySQL. Może to zagrozić integralności i poufności danych w systemach korzystających z DataEase. Operatorzy powinni traktować tę lukę jako wysokiego ryzyka i działać szybko.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie DataEase do wersji 2.10.21 lub nowszej, gdzie problem został załatany. W przypadku braku możliwości aktualizacji, ogranicz dostęp do API oraz monitoruj logi pod kątem nietypowych zapytań SQL. Przeprowadź przegląd uprawnień użytkowników i priorytetyzuj działania zabezpieczające.

Źródła

• NVD
• Reference
• Reference