PT-2026-33364 · Quartz+2 · Quartz+2
CVE-2026-40901
·
Publicado
2026-04-16
·
Atualizado
2026-05-25
CVSS v4.0
9.0
Crítica
| Vetor | AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H |
Name of the Vulnerable Software and Affected Versions
DataEase versões anteriores a 2.10.21
Description
Um invasor autenticado com a capacidade de escrever na tabela de jobs do Quartz, por exemplo, via SQL injection em 'previewSql', pode obter a execução remota de código. A aplicação inclui o Quartz 2.3.2, que desserializa BLOBs de dados de jobs da tabela 'qrtz job details' usando ObjectInputStream sem um filtro de desserialização ou lista de permissões de classes. Ao substituir o
JOB DATA de um job agendado por um payload malicioso de cadeia de gadgets CommonsCollections6, o invasor pode executar comandos arbitrários como root dentro do container quando o gatilho cron do Quartz for disparado. Isso é possível porque o velocity-1.7.jar legado inclui o commons-collections-3.2.1.jar, que contém a cadeia de gadgets de desserialização InvokerTransformer.Recommendations
Atualizar para a versão 2.10.21.
Exploit
Correção
Deserialization of Untrusted Data
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Commons-Collections
Dataease
Quartz