Veille sécuritéBackend & données
P3Moyenne
Une injection SQL à distance affecte le traitement des opérateurs dans le gestionnaire de données de graphiques de DataEase. Les versions jusqu’à 2.10.27 et 3.1.0 sont signalées comme affectées; mettez à niveau vers la version corrigée indiquée par l’avis.
Java
IdentifiantCVE-2026-123990
GravitéMoyenne
Exploitationrapportée, à confirmer
CorrectifDataEase 3.2.0
Source : NVD — CVE-2026-123990
Analyse technique
L’avis décrit une injection SQL via l’opérateur traité par ExtWhere2Str.extWhere2sqlOjb. Le correctif valide l’opérateur composé et utilise des mots-clés AND/OR fixes plutôt que de concaténer une logique contrôlée par l’utilisateur.
Impact, versions et correctif
Événement datéNouvelle publication NVD le 2026-11-07 à 17:16:34 UTC, soit 19:16:34 +02:00; l’avis GitHub indique également une publication le 7 novembre.
ImpactInjection SQL à distance; l’avis signale une divulgation publique d’un exploit susceptible d’être utilisé.
Versions affectéesDataEase jusqu’à 2.10.27 et 3.1.0
Version corrigéeDataEase 3.2.0
Exploitation activerapportée, à confirmer
PoC publicinconnu
CVSS5.5
Publication2026-11-07T19:16:34.163+02:00
Mise à jour2026-11-07T19:16:34.357+02:00
Action recommandée
Mettre à niveau vers DataEase 3.2.0.
Sources
Priorisation DFS : P3 · 1 source(s).