JimuReport未授权远程代码执行漏洞安全风险通告

01

漏洞详情

>>>>

影响组件

JimuReport（积木报表）是 jeecgboot（北京国炬信息技术有限公司）开源的一款免费可视化报表工具，支持在线设计复杂报表、图表、大屏与打印模板。该产品基于 Java/SpringBoot 技术栈开发，提供类 Excel 的 Web 设计器，通过拖拽即可快速完成报表制作，并支持 SQL、API、JSON 等多种数据源接入与 30 余种数据库，广泛应用于企业各类数据统计、业务分析、报表打印及大屏展示场景。

>>>>

漏洞描述

近日，奇安信CERT监测到JimuReport 未授权远程代码执行(QVD-2026-61751)，该漏洞源于 JimuReport（积木报表）v2.5.1 自动导出功能在身份校验与表达式执行两方面存在安全缺陷的叠加。一方面，导出接口 /jmreport/auto/export/python/plugin 在设计上被标记为免登录接口，而其签名校验使用硬编码的固定密钥，攻击者可据此伪造任意有效的 X-Sign 请求签名并完全绕过鉴权；另一方面，该接口导出报表时会遍历请求中的查询参数值并送入 Aviator 表达式引擎执行，且未对以“=”开头的参数做任何过滤或白名单约束，攻击者可利用 Aviator 沙箱逃逸实现任意 Java 反射调用，最终在无任何凭据的情况下达成远程代码执行。目前该漏洞PoC和技术细节已公开。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

>>>>

利用条件

无需认证、无需特殊网络条件、无需绕过安全机制、无需用户配合。

02

影响范围

>>>>

影响版本

JimuReport = 2.5.1（Aviator < 5.4.4）

03

复现情况

目前，奇安信CERT已成功复现JimuReport 未授权远程代码执行(QVD-2026-61751)，截图如下：

04

受影响资产情况

奇安信鹰图资产测绘平台数据显示，JimuReport 未授权远程代码执行(QVD-2026-61751)关联的国内风险资产总数为270728个，关联IP总数为17707个。国内风险资产分布情况如下：

05

处置建议

>>>>

安全更新

修复方案：

1. 将依赖的 Aviator 升级至 ≥ 5.4.4（可暂时阻断该沙箱逃逸链）；

2. 等待 JimuReport 官方发布修复版本。

临时缓解措施：

1. 更换/移除硬编码的 `PRINT_PLUGIN_SIGN_SECRET`，使 `X-Sign` 无法被预测伪造（当前实现为类内硬编码常量，建议改为外部配置并定期轮换）；

2. 在 WAF/网关拦截 `/jmreport/auto/export/python/plugin`（及 `/jmreport/auto/export`）的未授权访问，或默认关闭“自动导出/打印插件”特性；

3. 对导出参数中以 `=` 开头的表达式执行做白名单/彻底禁用，避免将任意参数值送入 Aviator 引擎；

4. 排查并轮换相关接口密钥与演示数据（删除默认演示报表或默认账号），收敛可被枚举的报表 ID。

06

参考资料

[1]https://github.com/jeecgboot/jimureport/issues/4774

声明：本文来自奇安信 CERT，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。