CVE-2024-43028

Command injection w Jeecg Boot — zdalne wykonanie kodu przez /jmreport/show

CVSS 9.8v3.1pub. 2026-04-01upd. 2026-04-06

W komponentach Jeecg Boot w wersjach od v3.0.0 do v3.5.3 wykryto podatność typu command injection, umożliwiającą nieuwierzytelnionemu atakującemu zdalne wykonanie dowolnego kodu. Podatność jest krytyczna ze względu na brak wymagań dotyczących uwierzytelnienia i pełny wpływ na poufność, integralność oraz dostępność systemu.

▸ Pokaż oryginał (EN)

A command injection vulnerability in the component /jmreport/show of jeecg boot v3.0.0 to v3.5.3 allows attackers to execute arbitrary code via a crafted HTTP request.

🤖 Analiza AI

Jak działa

Podatność znajduje się w endpointcie /jmreport/show dostępnym przez sieć. Atakujący może wysłać spreparowane żądanie HTTP zawierające złośliwy payload, który jest przekazywany do interpretera poleceń systemowych bez odpowiedniej walidacji ani sanityzacji danych wejściowych (CWE-77 — improper neutralization of special elements used in a command). W wyniku tego wykonywane są arbitralne polecenia systemowe z uprawnieniami procesu aplikacji.

Skutki

Atakujący bez żadnego uwierzytelnienia może zdalnie wykonać dowolny kod na serwerze, co prowadzi do pełnego przejęcia kontroli nad systemem, wycieku danych oraz możliwości zakłócenia działania aplikacji.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się pilną aktualizację do wersji nowszej niż v3.5.3 oraz — do czasu aktualizacji — ograniczenie dostępu do endpointu /jmreport/show na poziomie firewall lub reverse proxy, szczególnie dla nieuwierzytelnionych użytkowników.

Kogo dotyczy

Jeecg Boot w wersjach od v3.0.0 do v3.5.3

Uwagi

Dostępny jest publiczny proof-of-concept exploit opublikowany w serwisie GitHub (gist.github.com/aqyoung). Mimo braku wpisu w CISA KEV, istnienie publicznego PoC istotnie podnosi ryzyko aktywnego wykorzystania podatności.