大工网安告[2026031]

一、 情况分析

JeecgBoot是基于SpringBoot+Vue构建的低代码开发平台，内置JimuReport（积木报表）报表组件，支持在线报表设计、数据可视化与多种格式导出。

近日，监测到官方修复JeecgBoot积木报表autoexport远程代码执行漏洞(QVD-2026-56805)，该漏洞源于积木报表组件的auto/export导出接口存在未授权远程代码执行缺陷，当参数值以`=`开头时会被内部表达式引擎按Excel公式解析，该引擎底层具备Groovy脚本能力且参数值未做任何过滤，攻击者可通过构造恶意参数远程执行任意命令，完全控制受影响系统。同时JeecgBoot的Shiro过滤链将`/jmreport/**`配置为匿名放行，攻击者无需任何凭据即可完成利用。目前该漏洞PoC和技术细节已公开。

威胁类型：代码执行。

技术类型：表达式注入。

危害描述：未授权攻击者可构造恶意参数，远程执行任意命令，以应用权限完全控制受影响系统，实现服务器沦陷。

二、 影响版本

独立部署积木报表，积木报表<=2.5.0，组件自身存在漏洞，直接受影响

集成进JeecgBoot平台，JeecgBoot<=3.9.3，平台内置的积木报表组件版本<=2.5.0，随之受影响。

三、 处置建议修复解决方案（含漏洞补丁）：

官方已发布安全补丁，请及时更新至最新版本： JimuReportv2.5.1

注意：JeecgBoot最新releasev3.9.3（8/20）捆绑的仍是JimuReport2.5.0。

缓解措施：

1.在防护设备添加规则，拦截`/jeecg-boot/jmreport/auto/export`接口携带恶意代码执行特征的请求（特征：参数值以`=`开头，且包含`groovy.util.Eval`、`execute()`、`.class.forName`等关键字）；

2.收敛`/jeecg-boot/jmreport/**`的匿名放行配置，为导出接口增加认证校验。