DataEase是一款数据库管理软件，旨在帮助用户轻松地创建和管理数据库应用程序。该软件提供了直观的界面和强大的功能，使用户能够快速设计数据库结构、建立关系、定义数据输入和输出格式，并生成相应的应用程序代码。该漏洞是由于H2数据库JDBC驱动在SQL解析时对标识符大小写校验不严格的缺陷，成功绕过了针对SQL注入的安全补丁防护机制。攻击者可以结合CVE-2025-49001漏洞，通过精心构造的恶意请求伪造有效的JWT身份认证令牌，从而绕过系统的身份验证，通过特制的数据库查询语句实现任意代码注入，最终导致权限提升，对系统安全构成严重威胁。
DataEase <= 2.10.8
DataEase >= 2.10.10
https://github.com/dataease/dataease/releases/tag/v2.10.10
1.https://github.com/dataease/dataease/security/advisories/GHSA-999m-jv2p-5h34
原文始发于微信公众号（安全聚）：【漏洞预警】DataEase 远程代码执行漏洞(CVE-2025-49002)
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论