一、漏洞详情

JimuReport（积木报表）是JeecgBoot生态中的在线报表设计与导出组件，主要用于数据查询、报表生成和文件导出。

近日，监测到JimuReport存在未授权远程代码执行风险。攻击者无需登录即可调用自动导出功能，将恶意表达式注入查询参数，可能在目标服务器上执行任意操作系统命令，造成服务器被控制、敏感数据泄露或内网横向移动。

建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。

二、影响范围

JimuReport <=2.5.0

JeecgBoot <=3.9.3（捆绑 JimuReport 2.5.0 starter）

三、修复建议

官方已发布安全补丁，请及时更新至最新版本：

JimuReport  v2.5.1

注意：JeecgBoot 最新 release v3.9.3（8/20）捆绑的仍是JimuReport 2.5.0