- Son 7 gün
- CWE-74
- CWE-89
CVE-2026-123990
DataEase grafik veri işleyicisinde SQL enjeksiyonu açığı
- Yayımlandı
- Güncellendi
- 7 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulDB
Yönetici özeti
Bu açık, DataEase kullanan kurumların veritabanındaki verilerin sızması veya değiştirilmesi riskini doğurmaktadır. Kamuya açık bir istismar kodu bulunduğu için güncelleme kısa sürede yapılmalıdır.
ÖzetTürkçe
DataEase'in grafik veri işleyicisi bileşenindeki ExtWhere2Str sınıfında, operatör argümanının doğrulanmadan SQL sorgusuna eklenmesi nedeniyle SQL enjeksiyonu açığı bulunmaktadır. Açık, 2.10.0 ile 2.10.27 arasındaki sürümleri ve 3.0 ile 3.1.0 sürümlerini etkiler. Uzaktan ve kimlik doğrulaması gerekmeden istismar edilebilir ve bu istismar kamuya açıklanmıştır.
Saldırgan ne yapabilir?
Saldırgan, veritabanı sorgularını manipüle ederek veri okuyabilir veya değiştirebilir; uygulamanın erişim yetkisine bağlı olarak sistemin tamamına yönelik etkiler de ortaya çıkabilir.
Kaynaktaki açıklama (İngilizce)
A security vulnerability has been detected in DataEase up to 2.10.27/3.1.0. Affected is the function ExtWhere2Str.extWhere2sqlOjb of the file engine/trans/ExtWhere2Str.java of the component Chart Data Handler. Such manipulation of the argument operator leads to sql injection. The attack may be performed from remote. The exploit has been disclosed publicly and may be used. Upgrading to version 3.2.0 is able to address this issue. Upgrading the affected component is advised. The vendor confirms: "The fix validates the complete compound operator and uses fixed AND / OR keywords instead of concatenating user-controlled logic into SQL."
Ne yapmalı?
- DataEase'i 3.2.0 veya üzeri bir sürüme yükseltin; satıcı düzeltmesi, bileşen operatör kurallarını tam olarak doğrulayıp AND/OR anahtar kelimelerini sabit olarak kullanmaktadır. Genel öneri
- Yükseltme yapılana kadar grafik veri işleyicisi özelliğini geçici olarak devre dışı bırakmayı veya erişimini yalnızca güvenilir kullanıcılarla sınırlandırmayı değerlendirin. Genel öneri
- Yükseltme sonrası uygulamanın grafik verilerini doğru şekilde getirdiğini test edin. Genel öneri
Ek önlemler
- Veritabanı kullanıcısına yalnızca gerekli minimum yetkileri verin ve uygulama hesabının yönetici yetkisine sahip olmadığından emin olun. Genel öneri
- Web sunucu ve uygulama günlüklerinde şüpheli sorgu parametrelerini ve olağandışı veritabanı hatalarını izleyin. Genel öneri
- Uygulamanın dış erişimini gerektiği ölçüde kısıtlayın ve bir web uygulaması güvenlik duvarı kullanmayı düşünün. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| DataEase | 2.10.0 | – |
| 2.10.1 | – | |
| 2.10.2 | – | |
| 2.10.3 | – | |
| 2.10.4 | – | |
| 2.10.5 | – | |
| 2.10.6 | – | |
| 2.10.7 | – | |
| 2.10.8 | – | |
| 2.10.9 | – | |
| 2.10.10 | – | |
| 2.10.11 | – |
ve 19 satır daha
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/dataease/dataease/releases/tag/v3.2.0 Yama
- vuldb.com/cve/CVE-2026-123990 Üçüncü taraf
- vuldb.com/submit/1035483 Üçüncü taraf
- vuldb.com/vuln/432069 Diğer
- vuldb.com/vuln/432069/cti Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.