一、漏洞详情
DataEase是一款开源的数据分析平台。
近日，监测到官方修复DataEase远程代码执行漏洞(CVE-2025-49001、CVE-2025-49002)，CVE-2025-49001是由于JWT校验机制错误导致攻击者可伪造JWT令牌绕过身份验证流程，CVE-2025-49002是由于H2数据库模块没有严格过滤用户输入的JDBC连接参数，可使用大小写绕过补丁。攻击者可利用这些漏洞实现未授权代码执行，威胁用户数据和系统的安全。
建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。
二、影响范围
DataEase <= 2.10.8
三、修复建议
目前官方已有可更新版本，建议受影响用户升级至最新版本：DataEase >= 2.10.10。