2026-08-21 05:45:27 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： 奇安信CERT发布JeecgBoot高危漏洞(QVD-2026-56312)通告，CVSS评分8.6。攻击者可利用Shiro路由匹配差异绕过JWT认证，通过filterSql参数注入SQL进行布尔盲注，窃取敏感信息。影响版本<=3.9.3，国内风险资产超6万。官方未发布补丁，建议实施临时缓解措施，包括拦截匿名访问、调整Shiro过滤链顺序及严格校验filterSql参数。 综合评分： 90 文章分类： 漏洞分析,安全建设,解决方案

【已复现】JeecgBoot 权限绕过与SQL注入组合漏洞(QVD-2026-56312)安全风险通告

奇安信 CERT

2026年8月20日 18:21 江苏

在小说阅读器读本章

去阅读

● 点击↑蓝字关注我们，获取更多安全风险通告

| | | | | | — | — | — | — | | 漏洞概述 | | | | | 漏洞名称 | JeecgBoot 权限绕过与SQL注入组合漏洞 | | | | 漏洞编号 | QVD-2026-56312 | | | | 公开时间 | 2026-08-18 | 影响量级 | 万级 | | 奇安信评级 | 高危 | CVSS 3.1分数 | 8.6 | | 威胁类型 | 权限绕过 | 利用可能性 | 高 | | POC状态 | 未公开 | 在野利用状态 | 未发现 | | EXP状态 | 未公开 | 技术细节状态 | 已公开 | | 危害描述：攻击者可利用 Shiro 路由匹配差异绕过 JWT 认证，以匿名身份访问字典查询接口，并通过 filterSql 参数注入恶意 SQL，通过布尔盲注窃取数据库中的敏感信息（用户账号、口令哈希、手机号、业务数据等），进一步可导致数据泄露、数据篡改，乃至服务器沦陷。 | | | |

漏洞详情

>>>>

影响组件

JeecgBoot 是一款由北京国炬信息技术有限公司开发的开源低代码开发平台，基于 Spring Boot 与 MyBatis-Plus 构建，提供权限管理、数据字典、在线表单、报表设计、微服务扩展等能力，广泛应用于企业级信息化系统的快速构建场景。

>>>>

漏洞描述

近日，奇安信CERT监测到JeecgBoot 权限绕过与SQL注入组合漏洞(QVD-2026-56312)，该漏洞源于 JeecgBoot 的 Shiro 权限过滤链与字典查询接口参数过滤机制存在缺陷：攻击者在 API 路径后附加静态资源后缀（如 .js）即可命中 /\*\*/\*.js 匿名放行规则，绕过 JWT 认证，以匿名身份访问 /sys/dict/getDictItems/\* 等敏感数据接口；随后利用四段式字典码中 filterSql 参数过滤不完善，将恶意 SQL 直接拼接进查询语句的 WHERE 子句，通过布尔盲注窃取数据库中的敏感信息。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

>>>>

利用条件

攻击者只需具备对目标 JeecgBoot 有网络访问权限，无需账号。

影响范围

>>>>

影响版本

JeecgBoot <= 3.9.3

>>>>

其他受影响组件

无

复现情况

目前，奇安信CERT已成功复现JeecgBoot 权限绕过与SQL注入组合漏洞(QVD-2026-56312)，截图如下：

受影响资产情况

奇安信鹰图资产测绘平台数据显示，JeecgBoot 权限绕过与SQL注入组合漏洞(QVD-2026-56312)关联的国内风险资产总数为61084个，关联IP总数为12751个。国内风险资产分布情况如下：

处置建议

>>>>

安全更新

官方尚未发布修复补丁，建议关注 JeecgBoot GitHub/Gitee 官方版本更新。

临时缓解措施：

在安全防护设备/网关/代理侧拦截 /sys/dict/getDictItems/\* 接口的匿名访问；
在 Shiro 过滤链中将 /sys/dict/getDictItems/\*\* 强制设为 JWT 认证，并置于静态资源匿名放行规则（/\*\*/\*.js 等）之前；
对该接口的 filterSql 参数启用更严格的 SQL 注入关键字检测与过滤，建议采用白名单校验，仅允许简单的字段比较表达式。

参考资料

[1]https://github.com/jeecgboot/JeecgBoot

时间线

2026年08月20日，奇安信 CERT发布安全风险通告。

漏洞情报服务

「奇安信漏洞情报平台」重磅上线，诚邀您来体验：

奇安信 CERT

致力于第一时间为企业级用户提供权威漏洞情报和有效解决方案。

点击↓阅读原文，到ALPHA威胁分析平台订阅更多漏洞信息。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：奇安信 CERT 《【已复现】JeecgBoot 权限绕过与SQL注入组合漏洞(QVD-2026-56312)安全风险通告》