Ling12138-Sg

**Nome do Software Vulnerável e Versões Afetadas** DataEase versões anteriores a 2.10.24 **Descrição** O endpoint '/de2api/datasetData/previewSql' carece da anotação obrigatória de validação de permissão `@DePermit`. Isso permite que qualquer usuário autenticado defina a variável `datasourceId` como -1, obtendo acesso não autorizado ao banco de dados interno do mecanismo para executar instruções SQL arbitrárias e ler dados centrais sensíveis. **Recomendações** Atualize para a versão 2.10.24. Restrinja o acesso ao endpoint '/de2api/datasetData/previewSql' como uma medida de mitigação temporária.

**Nome do Software Vulnerável e Versões Afetadas** Emlog Pro versão 2.6.9 **Description** O recurso de upload de templates contém um problema de path traversal (travessia de caminho), que ocorre quando uma aplicação utiliza entradas fornecidas pelo usuário para construir um caminho de arquivo que é então usado em uma operação de arquivo. Isso permite que administradores autenticados executem código PHP arbitrário ao fazer o upload de um arquivo ZIP malicioso contendo sequências de travessia de diretório nos nomes dos arquivos. Esse processo possibilita a substituição de arquivos de template padrão ou a inclusão direta de arquivos de código malicioso no template atual. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.