【漏洞预警】Jeecg-Boot 未授权SQL注入漏洞(CVE-2023-1454)风险通告

漏洞预警发布时间：2023-03-24 14:46:16 301 浏览

希望大家看完多点“在看”，喜欢的话也点个分享和赞

‍漏洞描述

JeecgBoot是一款基于代码生成器的低代码开发平台，它提供了一系列的代码生成器、模板引擎、权限管理、数据字典、数据导入导出等功能，可以帮助开发者快速构建企业级应用。

漏洞危害

企业Web应用程序的Java低代码平台Jeecg-Boot（v3.5.0）用了jimureport-spring-boot-starter-1.5.6.jar，Jeecg-Boot对特殊字符的过滤存在缺陷，未经身份验证的远程攻击者，通过构造特制的字符串，最终可获取目标数据库中的敏感信息。

影响版本

Jeecg-Boot = v3.5.0

漏洞等级

高危

修复建议

出现注入的点在积木报表插件内，目前官方暂未发布修复方案，临时解决方法可以将报表插件暂时关闭或下线。

其他修复参考：

http://jimureport.com/doc/log

https://spring.io/security/cve-2023-20860

漏洞预警 | 百易云资产管理运营系统SQL注入漏洞