DataEase JWT认证绕过漏洞(CVE-2025-49001)

admin 2025年6月19日22:59:41评论19 views字数 465阅读1分33秒阅读模式

DataEase JWT(CVE-2025-49001

漏洞介绍

DataEase是一款开源的数据分析平台。官方修复DataEase远程代码执行漏洞(CVE-2025-49001、CVE-2025-49002),CVE-2025-49001是由于JWT校验机制错误导致攻击者可伪造JWT令牌绕过身份验证流程,CVE-2025-49002是由于H2数据库模块没有严格过滤用户输入的JDBC连接参数,可使用大小写绕过补丁。攻击者可利用这些漏洞实现未授权代码执行,威胁用户数据和系统的安全。

建议受影响用户做好资产自查以及预防工作,以免遭受黑客攻击。

漏洞原理

该漏洞是由于JWT校验机制错误导致攻击者可伪造JWT令牌绕过身份验证流程,攻击者可以通过该漏洞访问后台获取大量敏感信息。

影响版本

DataEase <= 2.10.8

修复建议:

目前官方已有可更新版本,建议受影响用户升级至最新版本:DataEase >= 2.10.10

原文始发于微信公众号(Eonian Sharp):漏洞预警 | DataEase JWT认证绕过漏洞(CVE-2025-49001)

免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2025年6月19日22:59:41
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   DataEase JWT认证绕过漏洞(CVE-2025-49001)https://cn-sec.com/archives/4178841.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉.

发表评论

匿名网友 填写信息