DataEase JWT(CVE-2025-49001)
漏洞介绍
DataEase是一款开源的数据分析平台。官方修复DataEase远程代码执行漏洞(CVE-2025-49001、CVE-2025-49002),CVE-2025-49001是由于JWT校验机制错误导致攻击者可伪造JWT令牌绕过身份验证流程,CVE-2025-49002是由于H2数据库模块没有严格过滤用户输入的JDBC连接参数,可使用大小写绕过补丁。攻击者可利用这些漏洞实现未授权代码执行,威胁用户数据和系统的安全。
建议受影响用户做好资产自查以及预防工作,以免遭受黑客攻击。
漏洞原理
该漏洞是由于JWT校验机制错误导致攻击者可伪造JWT令牌绕过身份验证流程,攻击者可以通过该漏洞访问后台获取大量敏感信息。
影响版本
DataEase <= 2.10.8
修复建议:
目前官方已有可更新版本,建议受影响用户升级至最新版本:DataEase >= 2.10.10。
原文始发于微信公众号(Eonian Sharp):漏洞预警 | DataEase JWT认证绕过漏洞(CVE-2025-49001)
免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论