01

漏洞详情

>>>>

影响组件

JeecgBoot 是一款由北京国炬信息技术有限公司开发的开源低代码开发平台，基于 Spring Boot 与 MyBatis-Plus 构建，提供权限管理、数据字典、在线表单、报表设计、微服务扩展等能力，广泛应用于企业级信息化系统的快速构建场景。

>>>>

漏洞描述

近日，奇安信CERT监测到JeecgBoot 权限绕过与SQL注入组合漏洞(QVD-2026-56312)，该漏洞源于 JeecgBoot 的 Shiro 权限过滤链与字典查询接口参数过滤机制存在缺陷：攻击者在 API 路径后附加静态资源后缀（如 `.js`）即可命中 `/**/*.js` 匿名放行规则，绕过 JWT 认证，以匿名身份访问 `/sys/dict/getDictItems/*` 等敏感数据接口；随后利用四段式字典码中 `filterSql` 参数过滤不完善，将恶意 SQL 直接拼接进查询语句的 WHERE 子句，通过布尔盲注窃取数据库中的敏感信息。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

>>>>

利用条件

攻击者只需具备对目标 JeecgBoot 有网络访问权限，无需账号。

02

影响范围

>>>>

影响版本

JeecgBoot <= 3.9.3

>>>>

其他受影响组件

无

03

复现情况

目前，奇安信CERT已成功复现JeecgBoot 权限绕过与SQL注入组合漏洞(QVD-2026-56312)，截图如下：

04

受影响资产情况

奇安信鹰图资产测绘平台数据显示，JeecgBoot 权限绕过与SQL注入组合漏洞(QVD-2026-56312)关联的国内风险资产总数为61084个，关联IP总数为12751个。国内风险资产分布情况如下：

05

处置建议

>>>>

安全更新

官方尚未发布修复补丁，建议关注 JeecgBoot GitHub/Gitee 官方版本更新。

临时缓解措施：

1. 在安全防护设备/网关/代理侧拦截 `/sys/dict/getDictItems/*` 接口的匿名访问；

2. 在 Shiro 过滤链中将 `/sys/dict/getDictItems/**` 强制设为 JWT 认证，并置于静态资源匿名放行规则（`/**/*.js` 等）之前；

3. 对该接口的 `filterSql` 参数启用更严格的 SQL 注入关键字检测与过滤，建议采用白名单校验，仅允许简单的字段比较表达式。

06

参考资料

[1]https://github.com/jeecgboot/JeecgBoot

声明：本文来自奇安信 CERT，稿件和图片版权均归原作者所有。所涉观点不代表东方安全立场，转载目的在于传递更多信息。如有侵权，请联系rhliu@skdlabs.com，我们将及时按原作者或权利人的意愿予以更正。