本文将从历史漏洞的角度出发,总结积木报表常见的问题和漏洞,并提出相应的解决方案。 一、数据不准确 在使用积木报表时,最常见的问题之一就是数据不准确。这可能是由于输入错误、计算错误或数据源错误等原因导致的。为了解决这个问题,我们可以采取以下措施: 1. 仔细核对数据输入,确保数据的准确性。 2. 使用公式和函数...
漏洞描述: 积木报表软件存在AviatorScript代码注入RCE漏洞 使用接口/jmreport/save处在text中写入AviatorScript表达式访问/jmreport/show触发AviatorScript解析从而导致命令执行。 漏洞复现 环境搭建 使用积木报表v1.7.8复现,下载链接:Release v1.7.8 · jeecgboot/JimuReport 用idea打开,使用maven下载依赖之后,运行com.jee...
漏洞描述 JeecgBoot 是一款开源的的低代码开发平台,积木报表是其中的低代码报表组件。 JeecgBoot 受影响版本中由于积木报表 /jeecg-boot/jmreport/queryFieldBySql Api 接口未进行身份校验,使用 Freemarker 处理用户用户传入的 sql 参数,未经授权的攻击者可发送包含恶意 sql 参数的 http 请求,通过 SSTI 在应用端执行...
版本号: v1.7.8 问题描述: 积木报表软件存在AviatorScript代码注入RCE漏洞 使用接口/jmreport/save处在text中写入AviatorScript表达式 访问/jmreport/show触发AviatorScript解析从而导致命令执行。 错误截图: 访问官网,创建报表,在报表表格中写入AviatorScript表达式
【墨菲安全实验室】jeecg-boot/积木报表基于SSTI的任意代码执行漏洞JeecgBoot, 一款广受欢迎的开源低代码开发平台，其积木报表组件存在一个关键漏洞。在受影响的版本中（如：org.jeecgframework.jimureport:1.6.1 到 1.6.1, JeecgBoot 3.0 到 3.5.3, 等等），积木报表的/jeecg-boot/jmreport/...
## 漏洞简介 JeecgBoot 受影响版本中由于积木报表 /jeecg-boot/jmreport/queryFieldBySql Api接口未进行身份校验,使用 Freemarker 处理用户用户传入的 sql 参数,未经授权的攻击者可发送包含恶意 sql 参数的 http 请求,通过 SST
重点解决SQL漏洞被攻击等安全问题!本次版本进行了非常大重构,重构了权限机制并彻底重写了SQL执行逻辑,解决了SQL漏洞风险;并处理了上个版本已知严重Bug; ::: 重要的事情只说一遍,必须升级,不然你会被攻击 ::: #新版规则变化 集成依赖 最新依赖还未上传 maven 官仓,下载失败请先配置JEECG的Maven私服。
1、积木报表基于SSTI的任意代码执行漏洞 使用JeecgBoot 受影响版本中由于积木报表 /jeecg-boot/jmreport/queryFieldBySql Api接口未进行身份校验,使用 Freemarker 处理用户用户传入的 sql 参数,未经授权的攻击者可发送包含恶意 sql 参数的 http 请求,通过 SSTI 在应用端执行任意代码。
重点解决SQL漏洞被攻击等安全问题!本次版本进行了非常大重构,重构了权限机制并彻底重写了SQL执行逻辑,解决了SQL漏洞风险;并处理了上个版本已知严重Bug; ::: 重要的事情只说一遍,必须升级,不然你会被攻击 ::: #新版规则变化 集成依赖 最新依赖还未上传 maven 官仓,下载失败请先配置JEECG的Maven私服。
重点解决SQL漏洞被攻击等安全问题!本次版本进行了非常大重构,重构了权限机制并彻底重写了SQL执行逻辑,解决了SQL漏洞风险;并处理了上个版本已知严重Bug; ::: 重要的事情只说一遍,必须升级,不然你会被攻击 ::: #新版规则变化 1、多租户的配置方式变更为:saasMode ...