Vulnerabilidad en Dataease (CVE-2025-58748)

Gravedad CVSS v4.0:

ALTA

Tipo:

CWE-502 Deserialización de datos no confiables

Fecha de publicación:

15/09/2025

Última modificación:

19/10/2026

Descripción

Dataease es una plataforma de análisis y visualización de datos de código abierto. En las versiones de Dataease hasta la 2.10.12, la implementación de la fuente de datos H2 (H2.java) no verifica que una URL JDBC proporcionada comience con jdbc:h2. Esta falta de validación permite una configuración JDBC manipulada que sustituye el controlador de Amazon Redshift y aprovecha los parámetros socketFactory y socketFactoryArg para invocar org.springframework.context.support.FileSystemXmlApplicationContext o ClassPathXmlApplicationContext con un recurso XML remoto controlado por el atacante, lo que resulta en ejecución remota de código. Las versiones hasta la 2.10.12 inclusive están afectadas. El problema está solucionado en la versión 2.10.13. Actualizar a la versión 2.10.13 o posterior es la remediación recomendada. No existen soluciones alternativas conocidas.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 8.70 ALTA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Alto
Integrity (VI): Alto
Availability (VA): Alto
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0

8.70

Gravedad 4.0

ALTA

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto