一、漏洞详情
DataEase是一款开源的数据可视化与分析平台。
近日，监测到DataEase存在Redshift JDBC绕过导致远程代码执行的漏洞，由于未对H2 JDBC前缀做严格校验，系统会接受使用com.amazon.redshift.jdbc42.Driver的连接串，攻击者可通过在socketFactory/socketFactoryArg中指向恶意Spring XML载入类路径/文件系统上下文并触发RCE。
建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。
二、影响范围
DataEase ≤ 2.10.12
三、修复建议
已发布修复版本，请将DataEase升级到2.10.13版本。
