• 漏洞编号：CVE-2025-58748
• 漏洞等级：高危
• 漏洞标签：暂无
• 发布时间：2025-09-16

漏洞描述

DataEase是一款开源的数据可视化与分析平台，支持多种数据源接入，提供报表、看板、可视化大屏等功能，帮助用户实现数据查询、分析与展示。它支持JDBC、API等多种数据连接方式，适用于BI报表、数据分析及可视化场景。2025年9月16日，启明星辰集团VSRC监测到DataEase存在Redshift JDBC绕过导致远程代码执行的漏洞，由于未对H2 JDBC前缀做严格校验，系统会接受使用com.amazon.redshift.jdbc42.Driver的连接串，攻击者可通过在socketFactory/socketFactoryArg中指向恶意Spring XML载入类路径/文件系统上下文并触发RCE。漏洞评分8.7，漏洞级别高危。

修复建议

暂无

参考链接

https://github.com/dataease/dataease/security/advisories/GHSA-23qw-9qrh-9rr8/

https://www.tenable.com/cve/CVE-2025-58748/

https://www.venustech.com.cn/new_type/aqtg/20250916/28836.html