DataEase 远程代码执行漏洞(CVE-2025-49001、CVE-2025-49002)预警
1、基本情况
DataEase 是一款开源的数据分析平台，提供丰富的数据可视化和分析功能，帮助用户轻松地进行数据探索和决策支持。
近日，监测发现 DataEase 官方发布安全公告，修复了 DataEase远程代码执行漏洞(CVE-2025-49001、CVE-2025-49002)，CVE-2025-49001 是由于 JWT 校验机制错误导致攻击者可伪造 JWT 令牌绕过身份验证流程，CVE-2025-49002 是由于 H2 数据库模块没有严格过滤用户输入的 JDBC 连接参数，可使用大小写绕过补丁。攻击者可利用这些漏洞实现未授权代码执行，威胁用户数据和系统的安全。
建议广大用户做好资产自查以及预防工作，以免遭受黑客攻击。
2、影响范围
受影响版本
⚫ DataEase <= 2.10.8
3、处置建议
目前这些漏洞已经修复，受影响用户可安装最新版本补丁。
下载地址：https://github.com/dataease/dataease/releases/tag/v2.10.10
4、参考链接
1) https://github.com/dataease/dataease/security/advisories/GHSA-999m-jv2p-5h34
2) https://github.com/dataease/dataease/releases/tag/v2.10.10