PT-2025-42628 · Dataease · Dataease

Publicado 2025-10-17 · Atualizado 2025-10-24 · CVE-2025-62421

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do DataEase até a 2.10.13

Descrição O DataEase é uma plataforma de visualização e análise de dados. Existe uma vulnerabilidade de cross-site scripting (XSS) armazenado devido à validação inadequada de upload de arquivos e bypass de autenticação. A rota upload/{fileId} dentro da interface StaticResourceApi permite que os usuários controlem o nome do arquivo e a extensão dos arquivos enviados. O método WhitelistUtils#match considera incorretamente URLs terminadas com extensões como .js como seguras, contornando as verificações de permissão. Isso permite que atacantes façam upload de arquivos HTML contendo JavaScript malicioso especificando extensões de arquivo arbitrárias, como ao acessar "upload/1.js". O TokenFilter está envolvido no processo de validação de permissão.

Recomendações Atualize para a versão 2.10.14 ou posterior.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-62421

GHSA-2WMV-RR3P-PF43

Produtos afetados

Dataease

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/62xxx/CVE-2025-62421.json · Exploit
• https://github.com/dataease/dataease/security/advisories/GHSA-2wmv-rr3p-pf43 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2025-62421 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1979266523416899833 · Publicação no Twitter
• https://t.me/CVEtracker/35203 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1979289028458426546 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-62421 · Nota de Segurança
• https://t.me/cveNotify/139231 · Publicação no Telegram
• https://t.me/cveNotify/140153 · Publicação no Telegram