Veille sécuritéBackend & données
P3Moyenne
Une vulnérabilité d’upload sans restriction affecte le filtre d’authentification de DataEase jusqu’à la version 2.10.27. L’avis recommande la mise à niveau vers 2.10.28, qui impose l’authentification sur le point de téléversement concerné indépendamment de la liste blanche des suffixes d’URI.
Java
IdentifiantCVE-2026-123991
GravitéMoyenne
Exploitationrapportée, à confirmer
CorrectifDataEase 2.10.28
Source : NVD — CVE-2026-123991
Analyse technique
La fonction endsWithAny de WhitelistUtils est associée à un téléversement sans restriction via le filtre d’authentification. Le correctif impose indépendamment l’authentification sur le point de téléversement de ressources statiques.
Impact, versions et correctif
Événement datéNouvelle publication NVD le 2026-11-07 à 17:16:34 UTC, soit 19:16:34 +02:00.
ImpactTéléversement sans restriction à distance; l’avis signale une divulgation publique d’un exploit susceptible d’être utilisé.
Versions affectéesDataEase jusqu’à 2.10.27
Version corrigéeDataEase 2.10.28
Exploitation activerapportée, à confirmer
PoC publicinconnu
CVSS5.5
Publication2026-11-07T19:16:34.420+02:00
Mise à jour2026-11-07T19:16:34.583+02:00
Détection / vérification
La vulnérabilité concerne la fonction WhitelistUtils.endsWithAny du filtre d’authentification.
Action recommandée
Mettre à niveau vers DataEase 2.10.28.
Sources
Priorisation DFS : P3 · 1 source(s).