W Jeecg Boot w wersji 3.5.3 wykryto podatność SQL injection w komponencie jmreport/qurestSql, umożliwiającą zdalnym, nieuwierzytelnionym atakującym eskalację uprawnień oraz pozyskanie wrażliwych danych. Podatność uzyskała ocenę CVSS 9.8 (CRITICAL), co czyni ją ekstremalnie niebezpieczną.
▸ Pokaż oryginał (EN)
SQL injection vulnerability in jeecg-boot version 3.5.3, allows remote attackers to escalate privileges and obtain sensitive information via the jmreport/qurestSql component.
Atakujący wysyła spreparowane żądanie sieciowe do endpointu jmreport/qurestSql, wstrzykując złośliwy kod SQL jako część zapytania. Brak odpowiedniej walidacji i sanityzacji danych wejściowych pozwala na manipulację zapytaniami wykonywanymi przez bazę danych. W rezultacie możliwe jest zarówno odczytanie poufnych informacji, jak i eskalacja uprawnień w obrębie aplikacji.
Nieuwierzytelniony zdalny atakujący może uzyskać dostęp do wrażliwych danych przechowywanych w bazie oraz podnieść swoje uprawnienia w aplikacji Jeecg Boot.
Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu do endpointu jmreport/qurestSql na poziomie firewall lub WAF do czasu wdrożenia poprawki.
Jeecg Boot wersja 3.5.3
Podatność została opisana i opublikowana przez badacza pho3n1x-web w dniu 15 września 2023 roku, na co wskazują referencje dołączone do wpisu CVE.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HJeecg Boot
APPJeecg≤ 3.5.3
Powiązane podatności
Injection/RCE w Jeecg Boot 3.0.0–3.5.3 przez niedostateczne filtrowanie znaków
Command injection w Jeecg Boot — zdalne wykonanie kodu przez /jmreport/show
SQL Injection w JeecgBoot przez endpoint getTotalData
RCE poprzez SSTI injection w Jeecg Boot — komponent /jmreport/loadTableData
SQL Injection w Jeecg Boot — eskalacja uprawnień i wyciek danych