DataEase JWT认证绕过漏洞（CVE-2025-49001）

admin
admin
admin
146362
文章
119
评论
2025年6月19日22:59:41评论19 views字数 465阅读1分33秒阅读模式

DataEase JWT（CVE-2025-49001）

漏洞介绍

DataEase是一款开源的数据分析平台。官方修复DataEase远程代码执行漏洞(CVE-2025-49001、CVE-2025-49002)，CVE-2025-49001是由于JWT校验机制错误导致攻击者可伪造JWT令牌绕过身份验证流程，CVE-2025-49002是由于H2数据库模块没有严格过滤用户输入的JDBC连接参数，可使用大小写绕过补丁。攻击者可利用这些漏洞实现未授权代码执行，威胁用户数据和系统的安全。

建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。

漏洞原理

该漏洞是由于JWT校验机制错误导致攻击者可伪造JWT令牌绕过身份验证流程，攻击者可以通过该漏洞访问后台获取大量敏感信息。

影响版本

DataEase <= 2.10.8

修复建议：

目前官方已有可更新版本，建议受影响用户升级至最新版本：DataEase >= 2.10.10。

原文始发于微信公众号（Eonian Sharp）：漏洞预警 | DataEase JWT认证绕过漏洞（CVE-2025-49001）

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2025年6月19日22:59:41
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   DataEase JWT认证绕过漏洞（CVE-2025-49001）https://cn-sec.com/archives/4178841.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

发表评论

匿名网友 填写信息