帆软报表 ReportServer SQL注入导致任意代码执行漏洞

北京赛克艾威科技有限公司 2024-07-23

漏洞编号：暂无
漏洞等级：严重
漏洞标签：发布预警、公开漏洞
发布时间：2024-07-23

漏洞描述

帆软报表是一个企业级Web报表工具。受影响版本在使用 SQLite 作为数据库时，view/ReportServer?test\=&n\= 接口存在SQL注入漏洞，当使用SQLite数据库时，未经授权的攻击者可利用该漏洞写入任意文件，从而执行任意系统命令。可通过在配置文件 url.properties 中添加规则 rule3\=/view/ReportServer、rule4\=/view/ReportServer/ 以缓解漏洞。