CVE-2025-11159

Podczas tworzenia nowego połączenia z bazą danych H2 przez administratora źródła danych, wbudowany sterownik JDBC przetwarza parametry połączenia w sposób, który pozwala na uruchomienie zewnętrznych skryptów. Atakujący z uprawnieniami administratora źródła danych może skonstruować złośliwy ciąg połączenia JDBC, który wywoła wykonanie arbitralnego kodu lub skryptu po stronie serwera. Podatność ma zasięg wykraczający poza komponent (Scope: Changed), co oznacza, że skutki mogą objąć zasoby poza bezpośrednim środowiskiem aplikacji.

Atakujący posiadający uprawnienia administratora źródła danych może doprowadzić do pełnego naruszenia poufności, integralności i dostępności systemu, w tym do zdalnego wykonania kodu (RCE) na serwerze hostującym aplikację.

Należy zaktualizować oprogramowanie do wersji 10.2.0.7 lub 11.0.0.0 zgodnie z informacją producenta dostępną pod adresem wskazanym w referencjach. Dodatkowo zaleca się ograniczenie dostępu do funkcji zarządzania źródłami danych wyłącznie do zaufanych i zweryfikowanych administratorów.

Hitachi Vantara Pentaho Data Integration & Analytics – wszystkie wersje przed 10.2.0.7 oraz przed 11.0.0.0

Zgodnie z referencją producenta podatność została naprawiona w wersjach przed 10.2.0.7 oraz 11.0.0.0. Podatność wymaga uprawnień administratora (PR:H), co ogranicza powierzchnię ataku, jednak zakres oddziaływania wykracza poza aplikację (S:C).