EUVD-2026-11647

Publicatie: 2026-03-12 · Update: 2026-03-12

Samenvatting

Dataease is een open source hulpprogramma voor datavisualisatieanalyse. Vóór 2.10.20 werd de tabelparameter voor /de2api/datasource/previewData rechtstreeks aaneengesloten in de SQL-instructie zonder filtering of parametrisering. Aangezien tableName een door de gebruiker te controleren tekenreeks is, kunnen aanvallers kwaadaardige SQL-instructies injecteren door kwaadaardige tabelnamen te construeren. Deze kwetsbaarheid is verholpen in 2.10.20.

Wat betekent dit praktisch?

• Gebruik dit als externe signalering, niet als automatisch bewijs van impact op jouw omgeving.
• Als je dit item intern wilt triagen: noteer versies, exposure (internet/intern) en exploit-signalering.
• In HackSec kun je dit koppelen aan stack-profielen en alert policies (achter login).