PT-2024-36617 · Dataease · Dataease

H4Cking2Thegate · Publicado 2024-12-18 · Atualizado 2025-03-13 · CVE-2024-55953

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.6

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do DataEase anteriores à 1.18.27

Descrição

A vulnerabilidade permite que usuários autenticados leiam e deserializem arquivos arbitrários por meio da conexão JDBC em segundo plano. Isso se deve à falta de filtragem na construção da string de conexão JDBC. Não há soluções alternativas conhecidas para este problema.

Recomendações

Para versões anteriores à 1.18.27, atualize para a versão 1.18.27 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso à conexão JDBC para minimizar o risco de exploração.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-55953

GHSA-MRF3-9Q84-RCMF

Produtos afetados

Dataease

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/55xxx/CVE-2024-55953.json · Exploit
• https://github.com/dataease/dataease/commit/0db4872a52eccf6e83dd9359aa05db52dd580ec1 · Correção
• https://github.com/dataease/dataease/security/advisories/GHSA-mrf3-9q84-rcmf · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1869493849866818020 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-55953 · Aviso do Fabricante
• https://t.me/cvedetector/20246 · Publicação no Telegram
• https://t.me/cvetracker/19065 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-55953 · Nota de Segurança
• https://t.me/cvedetector/13224 · Publicação no Telegram
• https://t.me/cvenotify/111890 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1900238106143453534 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1869460729151258641 · Publicação no Twitter