【已复现】JeecgBoot 权限绕过与SQL注入组合漏洞(QVD-2026-56312)安全风险通告

奇安信 CERT

2026年8月20日 18:21
江苏

在小说阅读器读本章

去阅读

● 点击↑蓝字关注我们，获取更多安全风险通告

01

漏洞详情

>>>>

影响组件

JeecgBoot 是一款由北京国炬信息技术有限公司开发的开源低代码开发平台，基于 Spring Boot 与 MyBatis-Plus 构建，提供权限管理、数据字典、在线表单、报表设计、微服务扩展等能力，广泛应用于企业级信息化系统的快速构建场景。

>>>>

漏洞描述

近日，奇安信CERT监测到JeecgBoot 权限绕过与SQL注入组合漏洞(QVD-2026-56312)，该漏洞源于 JeecgBoot 的 Shiro 权限过滤链与字典查询接口参数过滤机制存在缺陷：攻击者在 API 路径后附加静态资源后缀（如 .js）即可命中 /\\*\\*/\\*.js 匿名放行规则，绕过 JWT 认证，以匿名身份访问 /sys/dict/getDictItems/\\* 等敏感数据接口；随后利用四段式字典码中 filterSql 参数过滤不完善，将恶意 SQL 直接拼接进查询语句的 WHERE 子句，通过布尔盲注窃取数据库中的敏感信息。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

>>>>

利用条件

攻击者只需具备对目标 JeecgBoot 有网络访问权限，无需账号。

02

影响范围

>>>>

影响版本

JeecgBoot <= 3.9.3

>>>>

其他受影响组件

无

03

复现情况

目前，奇安信CERT已成功复现JeecgBoot 权限绕过与SQL注入组合漏洞(QVD-2026-56312)，截图如下：

04

受影响资产情况

奇安信鹰图资产测绘平台数据显示，JeecgBoot 权限绕过与SQL注入组合漏洞(QVD-2026-56312)关联的国内风险资产总数为61084个，关联IP总数为12751个。国内风险资产分布情况如下：

05

处置建议

>>>>

安全更新

官方尚未发布修复补丁，建议关注 JeecgBoot GitHub/Gitee 官方版本更新。

临时缓解措施：

1. 在安全防护设备/网关/代理侧拦截 /sys/dict/getDictItems/\\* 接口的匿名访问；

2. 在 Shiro 过滤链中将 /sys/dict/getDictItems/\\*\\* 强制设为 JWT 认证，并置于静态资源匿名放行规则（/\\*\\*/\\*.js 等）之前；

3. 对该接口的 filterSql 参数启用更严格的 SQL 注入关键字检测与过滤，建议采用白名单校验，仅允许简单的字段比较表达式。

06

参考资料

[1]https://github.com/jeecgboot/JeecgBoot

07

时间线

2026年08月20日，奇安信 CERT发布安全风险通告。

08

漏洞情报服务

「奇安信漏洞情报平台」重磅上线，诚邀您来体验：

奇安信 CERT

致力于第一时间为企业级用户提供权威漏洞情报和有效解决方案。

点击↓阅读原文，到ALPHA威胁分析平台订阅更多漏洞信息。