PT-2026-3770 · Dataease · Dataease

Mosesox + 1 · Publicado 2026-01-21 · Atualizado 2026-06-16 · CVE-2026-23958

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Dataease anteriores à 2.10.19

Descrição O Dataease, uma ferramenta de análise e visualização de dados de código aberto, está suscetível a um problema de apropriação de conta. A ferramenta utiliza o hash MD5 da senha de um usuário como o segredo de assinatura JWT. Essa derivação previsível do segredo permite que um invasor execute um ataque de força bruta na senha de um administrador, explorando endpoints de API não monitorados que verificam tokens JWT.

Recomendações Atualize para a versão 2.10.19 ou posterior.

Exploit

Correção

RCE

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-522

Identificadores relacionados

CVE-2026-23958

GHSA-5WVM-4M4Q-RH7J

Produtos afetados

Dataease

Referências · 14

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/23xxx/CVE-2026-23958.json · Exploit
• 🔥 https://ox.security/blog/blog-dataease-cve-2026-23958-admin-takeover · Exploit
• https://github.com/dataease/dataease/security/advisories/GHSA-5wvm-4m4q-rh7j · Aviso do Fabricante
• https://twitter.com/lsof/status/2014399046920622559 · Publicação no Twitter
• https://t.me/CVEtracker/42729 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2014182495311557085 · Publicação no Twitter
• https://twitter.com/lyrie_ai/status/2063799680631255236 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2014271657351823565 · Publicação no Twitter
• https://reddit.com/r/threatintel/comments/1u7d7of/cvss_score_vs_attack_class · Publicação no Reddit
• https://twitter.com/lyrie_ai/status/2063799681621151851 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-23958 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-23958 · Aviso do Fabricante
• https://twitter.com/MosheTov/status/2013925703557714159 · Publicação no Twitter
• https://t.me/cveNotify/152210 · Publicação no Telegram