Qué es y cómo funciona la falla
Se trata de una vulnerabilidad de inyección SQL (CWE-74) en el componente Chart Data Handler del software DataEase. La falla reside en la función ExtWhere2Str.extWhere2sqlOjb del archivo engine/trans/ExtWhere2Str.java. Una manipulación maliciosa del argumento operator permite a un atacante ejecutar comandos SQL no autorizados. El ataque puede realizarse de forma remota.
Productos y versiones afectadas
La vulnerabilidad afecta a todas las versiones de DataEase hasta la 2.10.27 y la 3.1.0.
Impacto y probabilidad de explotación
La vulnerabilidad tiene una puntuación CVSS de 7.3 (Alta). El exploit ha sido divulgado públicamente y podría estar en uso. Sin embargo, su probabilidad de explotación medida por EPSS es baja (0.26%) y no está incluida en el catálogo KEV de CISA.
Qué hacer
El proveedor recomienda actualizar a la versión 3.2.0 o superior de DataEase. La solución implementada valida el operador compuesto completo y utiliza palabras clave AND / OR fijas en lugar de concatenar lógica controlada por el usuario en las consultas SQL.
| CVE | CVE-2026-123990 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.3 / 10 |
| EPSS | 0.3% en 30 días (percentil 18) |
| CWE | CWE-74, CWE-89 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.