Se detectó una vulnerabilidad en DataEase (hasta la versión 2.10.27) debido a una falla en la función WhitelistUtils.endsWithAny. Un atacante remoto puede manipular el argumento de archivo para evadir el filtro de autenticación y cargar archivos arbitrarios en el servidor.
El impacto es crítico ya que el exploit es público. Para mitigar este riesgo, el fabricante recomienda actualizar inmediatamente a la versión 2.10.28, la cual implementa una autenticación obligatoria en el endpoint de carga de recursos estáticos.
| CVE | CVE-2026-123991 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.3 / 10 |
| EPSS | 0.5% en 30 días (percentil 41) |
| CWE | CWE-284, CWE-434 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
A vulnerability was detected in DataEase 2.10.27
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
T1078 – Valid AccountsT1105 – Ingress Tool Transfer
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.