一、基本情况
DataEase是一款开源的数据分析平台。
二、漏洞描述
DataEase官方修复远程代码执行漏洞(CVE-2025-49001、CVE-2025-49002)。CVE-2025-49001是由于JWT校验机制错误导致攻击者可伪造JWT令牌绕过身份验证流程，CVE-2025-49002是由于H2数据库模块没有严格过滤用户输入的JDBC连接参数，可使用大小写绕过补丁。攻击者可利用这些漏洞实现未授权代码执行，威胁用户数据和系统的安全。
三、影响范围
DataEase <= 2.10.8
四、修复建议
目前官方已有可更新版本，建议受影响用户升级至最新版本：DataEase >= 2.10.10。
