PT-2026-33352 · Dataease · Dataease

CVE-2026-33083 · Publicado 2026-04-16 · Atualizado 2026-04-17

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Name of the Vulnerable Software and Affected Versions DataEase versões anteriores a 2.10.21

Description Um invasor autenticado pode injetar comandos SQL arbitrários através do campo de direção de ordenação, permitindo a extração de dados cega baseada em tempo e a negação de serviço. A classe Order2SQLObj atribui diretamente o valor orderDirection fornecido pelo usuário à consulta SQL sem qualquer validação ou aplicação de lista branca. Este valor é renderizado na cláusula ORDER BY via StringTemplate antes da execução. O problema afeta endpoints relacionados a conjuntos de dados, incluindo '/de2api/datasetData/enumValueDs' e '/de2api/datasetTree/exportDataset'.

Recommendations Atualizar para a versão 2.10.21. Como medida paliativa temporária, restrinja o acesso aos endpoints '/de2api/datasetData/enumValueDs' e '/de2api/datasetTree/exportDataset' ou evite usar o parâmetro orderDirection até que a atualização seja aplicada.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2026-33083

GHSA-F443-95CF-M837

Produtos afetados

Dataease

Referências · 6

• 🔥 https://github.com/dataease/dataease/security/advisories/GHSA-f443-95cf-m837 · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/33xxx/CVE-2026-33083.json · Exploit
• https://github.com/dataease/dataease/releases/tag/v2.10.21 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-33083 · Nota de Segurança
• https://twitter.com/CVEnew/status/2045102664606769165 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-33083 · Aviso do Fabricante