微步情报局再次发现DataEase存在多个高危漏洞，可实现RCE

2025年6月30日17:24:44评论8 views字数 1144阅读3分48秒阅读模式

漏洞概况

DataEase 是一款开源的数据可视化分析工具，旨在帮助用户快速分析数据、洞察业务趋势，从而支持业务改进和优化。

微步情报局继CVE-2025-48999、CVE-2025-49001、CVE-2025-49002后，再次发现DataEase 多个高危漏洞（CVE-2025-53004，CVE-2025-53005）。

上述漏洞需要用户权限，但漏洞利用难度低，且技术细节已公开，建议受影响用户尽快修复。

漏洞处置优先级(VPT)

综合处置优先级：高

漏洞影响范围

漏洞复现

Redshift JDBC

Postgresql JDBC

修复方案

官方修复方案：

DataEase官方已发布修复版本，请尽快更新至2.10.11及以上版本：

https://github.com/dataease/dataease/security/advisories/GHSA-mfg2-qr5c-99pp

https://github.com/dataease/dataease/security/advisories/GHSA-99c4-h4fq-r23v

临时缓解措施：

1.通过防护类设备进行防护，拦截请求中出现的恶意JDBC特征。

2.在不影响业务的情况下，限制设备出网

3.如非必要，避免将资产暴露在互联网

微步产品侧支持情况

CVE-2025-53004（XVE-2025-25501）微步威胁感知平台TDP已支持检测，tdp规则id：S3100163794，模型/规则高于20250630000000可检出

CVE-2025-53005（XVE-2025-25500）微步威胁感知平台TDP已支持检测，tdp规则id：S3100163792，模型/规则高于20250630000000可检出

原文始发于微信公众号（微步在线研究响应中心）：微步情报局再次发现DataEase存在多个高危漏洞，可实现RCE

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。