CVE-2024-40489

Injection/RCE w Jeecg Boot 3.0.0–3.5.3 przez niedostateczne filtrowanie znaków

CVSS 9.8v3.1pub. 2026-04-01upd. 2026-04-06

Jeecg Boot w wersjach 3.0.0 do 3.5.3 zawiera podatność typu code injection (CWE-94) wynikającą z niewystarczającego filtrowania znaków w obsłudze żądań HTTP. Atakujący niewymagający uwierzytelnienia może zdalnie wykonać dowolny kod na serwerze, co czyni tę podatność krytyczną.

▸ Pokaż oryginał (EN)

There is an injection vulnerability in jeecg boot versions 3.0.0 to 3.5.3 due to lax character filtering, which allows attackers to execute arbitrary code on components through specially crafted HTTP requests.

🤖 Analiza AI

Jak działa

Podatność polega na zbyt liberalnym filtrowaniu znaków specjalnych w danych wejściowych przesyłanych przez HTTP. Atakujący przesyła specjalnie spreparowane żądanie HTTP zawierające złośliwy payload, który nie jest odpowiednio sanityzowany przez aplikację. W wyniku tego payload trafia do komponentu wykonującego kod, co skutkuje wykonaniem dowolnych instrukcji po stronie serwera (RCE).

Skutki

Atakujący może zdalnie i bez uwierzytelnienia wykonać dowolny kod na serwerze z uprawnieniami aplikacji, co może prowadzić do pełnego przejęcia systemu, wycieku danych oraz naruszenia integralności i dostępności usługi.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się niezwłoczną aktualizację Jeecg Boot do wersji wyższej niż 3.5.3. Do czasu wdrożenia patcha rekomendowane jest ograniczenie dostępu do aplikacji wyłącznie do zaufanych sieci lub adresów IP oraz monitorowanie logów pod kątem podejrzanych żądań HTTP.

Kogo dotyczy

Jeecg Boot w wersjach 3.0.0 do 3.5.3

Uwagi

Dostępny publiczny proof-of-concept (gist.github.com/aqyoung), co może obniżyć próg wejścia dla potencjalnych atakujących i zwiększa pilność wdrożenia poprawki.