漏洞预警

赛克艾威-漏洞预警

SecEvery - Vulnerability Warning

帆软报表 ReportServer SQL注入导致任意代码执行漏洞

北京赛克艾威科技有限公司

2024-07-23

帆软报表是一个企业级Web报表工具。受影响版本在使用 SQLite 作为数据库时，view/ReportServer?test\=&n\= 接口存在SQL注入漏洞，当使用SQLite数据库时，未经授权的攻击者可利用该漏洞写入任意文件，从而执行任意系统命令。可通过在配置文件 url.properties 中添加规则 rule3\=/view/ReportServer、rule4\=/view/ReportServer/ 以缓解漏洞。