DataEase 漏洞列表

CVE-2025-49001 是由于JWT校验机制错误导致攻击者可伪造JWT令牌绕过身份验证流程 fofa：body="/js/index-0.0.0-dataease.js" || body="/assets/css/style-0.0.0-dataease.css"

CVE-2025-49002 是由于H2数据库模块没有严格过滤用户输入的JDBC连接参数，可使用大小写绕过补丁。攻击者可利用这些漏洞实现未授权代码执行，威胁用户数据和系统的安全 fofa：body="/js/index-0.0.0-dataease.js" || body="/assets/css/style-0.0.0-dataease.css"

Dataease has a built-in account demo/dataease, and many developers forget to delete or change the account password. As a result, many Dataease can log in with this built-in account. When logging in, js encrypts the account password with the public key, so poc uses the account password encrypted by the public key, manually uses demo/dataease when logging in to the web page. DataEase有一个内置的demo/dataease，许多开发人员忘记删除或更改帐户密码。 因此，许多DataEase可以使用这个内置帐户登录。 在登录时，js使用公钥加密帐号密码，PoC使用公钥加密的帐号密码，在登录网页时就手动使用demo/dataase登录。

远程代码执行漏洞是指攻击者通过某些漏洞在服务器上执行任意代码，这通常是由于应用程序对外部输入的验证不足或处理不当造成的。攻击者可以利用这个漏洞上传恶意代码或直接通过HTTP请求发送恶意代码，从而控制服务器，进行包括数据窃取、网站篡改、服务器资源滥用等在内的多种恶意行为。

DataEase, an open source data visualization and analysis tool, has a database configuration information exposure vulnerability prior to version 2.5.0. Visiting the `/de2api/engine/getEngine;.js` path via a browser reveals that the platform's database configuration is returned.

DataEase is an open source data visualization analysis tool that helps users quickly analyze data and gain insights into business trends. In affected versions, the lack of signature verification of JWT tokens allows attackers to forge JWTs, which then allow access to any interface. The vulnerability has been fixed in v2.10.2 and all users are advised to upgrade. There are no known workarounds for this vulnerability.

远程代码执行漏洞是指攻击者通过某些漏洞在服务器上执行任意代码，这通常是由于应用程序对外部输入的验证不足或处理不当造成的。攻击者可以利用这个漏洞上传恶意代码或直接通过HTTP请求发送恶意代码，从而控制服务器，进行包括数据窃取、网站篡改、服务器资源滥用等在内的多种恶意行为。

远程代码执行漏洞是指攻击者通过某些漏洞在服务器上执行任意代码，这通常是由于应用程序对外部输入的验证不足或处理不当造成的。攻击者可以利用这个漏洞上传恶意代码或直接通过HTTP请求发送恶意代码，从而控制服务器，进行包括数据窃取、网站篡改、服务器资源滥用等在内的多种恶意行为。

远程代码执行漏洞是指攻击者通过某些漏洞在服务器上执行任意代码，这通常是由于应用程序对外部输入的验证不足或处理不当造成的。攻击者可以利用这个漏洞上传恶意代码或直接通过HTTP请求发送恶意代码，从而控制服务器，进行包括数据窃取、网站篡改、服务器资源滥用等在内的多种恶意行为。

DataEase是DataEase开源的一个开源的数据可视化分析工具。用于帮助用户快速分析数据并洞察业务趋势，从而实现业务的改进与优化。 DataEase 2.10.10之前版本存在授权问题漏洞，该漏洞源于密钥验证未成功生效，可能导致用户使用任意密钥伪造JWT令牌。

DataEase是DataEase开源的一个开源的数据可视化分析工具。用于帮助用户快速分析数据并洞察业务趋势，从而实现业务的改进与优化。 DataEase 2.10.10之前版本存在安全漏洞，该漏洞源于INIT和RUNSCRIPT禁止但可通过大小写不敏感绕过补丁。

DataEase是DataEase开源的一个开源的数据可视化分析工具。用于帮助用户快速分析数据并洞察业务趋势，从而实现业务的改进与优化。 DataEase 2.10.10之前版本存在安全漏洞，该漏洞源于getUrlType()检索hostName时判断语句返回false，可能导致恶意JDBC语句构造。

DataEase 是一款开源的数据可视化分析工具，旨在帮助用户快速构建数据可视化分析平台。DataEase 的 /de2api/datasource/validate 接口存在代码执行漏洞，攻击者可以利用该漏洞实现远程代码执行（RCE），从而完全控制受影响的系统。受影响版本：版本 < 2.10.10。

DataEase 是飞致云旗下的开源 BI 工具，提供社区版和嵌入式版两种版本,DataEase是一个开源的数据可视化分析工具。DataEase v2.5.0版本之前存在敏感信息泄露漏洞，攻击者可以精心构造请求获取服务器数据库配置信息。

DataEase 是杭州飞致云信息科技有限公司推出的一款开源数据可视化分析工具，旨在帮助用户快速分析数据并洞察业务趋势，以实现业务的改进与优化。DataEase 存在 JWT 硬编码身份认证绕过漏洞，由于硬编码密钥的使用，攻击者可以伪造合法的 JWT Token，从而绕过身份认证，接管系统后台。结合后台的反序列化漏洞和其他功能，攻击者可以进一步实现远程代码执行（RCE），获取服务器权限。

DataEase 是飞致云旗下的开源 BI工具，提供社区版和嵌入式版两种版本,DataEase是一个开源的数据可视化分析工具。在2.10.2之前，DataEase允许攻击者伪造jwt并接管服务。JWT秘密在代码中是硬编码的，UID和OID也是硬编码的。该漏洞已在v2.10.2中修复。

鉴权绕过漏洞是指攻击者通过某些手段绕过系统的正常权限验证机制，获取未授权的访问或执行权限。这种漏洞通常存在于身份验证、授权检查、权限控制等环节的不足或缺陷中，使得未经授权的用户能够访问或操作敏感数据、执行关键操作，甚至获取系统控制权。

DataEase是一个开源数据可视化和分析工具,在版本2.5.0之前存在数据库配置信息暴露漏洞。通过浏览器访问/de2api/engine/getEngine;.js路径可以获取平台的数据库配置。

飞致云 DataEase 需授权 XML外部实体注入漏洞

飞致云 DataEase 需授权 代码注入漏洞

产品描述DataEase是一个开源的数据可视化分析工具。用于帮助用户快速分析数据并洞察业务趋势，从而实现业务的改进与优化。 弱口令漏洞指的是系统中使用了简单、容易猜测或常见的密码，导致攻击者可以通过猜测或暴力破解的方式轻易获取账户权限，进而访问或控制受影响的系统资源。这种漏洞通常由于缺乏有效的密码策略或用户对安全意识的忽视造成。

DataEase是一个开源的数据可视化分析工具。用于帮助用户快速分析数据并洞察业务趋势，从而实现业务的改进与优化。 DataEase 2.5.0之前版本存在安全漏洞。攻击者利用该漏洞通过浏览器访问“/de2api/engine/getEngine;.js”路径，可以看到返回的数据库配置。

DataEase是一个开源的数据可视化分析工具。用于帮助用户快速分析数据并洞察业务趋势，从而实现业务的改进与优化。 DataEase v1.11.1 存在SQL注入漏洞，该漏洞源于普通权限用户可调用 /dataset/table/sqlPreview 接口。