CVE-2023-1454 — 神龙十问 AI 深度分析摘要
CVSS 6.3 · Medium
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Jeecg-Boot 存在未授权 SQL 注入漏洞。 💥 **后果**：攻击者可非法获取数据库敏感信息，甚至写入木马获取服务器权限。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-89 (SQL注入)。 📍 **缺陷点**：接口 `/jmreport/qurestSql` 中的参数 `apiSelectId` 未做过滤，直接拼接 SQL。
Q3影响谁？（版本/组件）
📦 **产品**：Jeecg-Boot (基于代码生成器的低代码平台)。 📅 **版本**：v3.5.0 (受影响)。
Q4黑客能干啥？（权限/数据）
🕵️ **数据**：窃取管理员密码、用户个人信息等数据库内容。 🔓 **权限**：高权限下可写入木马，进一步获取服务器系统权限。
Q5利用门槛高吗？（认证/配置）
🚪 **门槛**：低。 🔑 **认证**：**未授权** (无需登录即可利用)。 🌐 **网络**：远程利用 (AV:N)。
Q6有现成Exp吗？（PoC/在野利用）
🧪 **PoC/Exp**：有。 📂 **来源**：GitHub 多个仓库提供扫描脚本 (Python) 和 SQLMap 数据包。 ⚠️ **注意**：存在在野利用风险。
Q7怎么自查？（特征/扫描）
🔎 **FOFA**：`title=="JeecgBoot 企业级低代码平台"`。 📊 **规模**：约 3957 台资产受影响。 🛠️ **工具**：使用提供的 Python 脚本批量检测。
Q8官方修了吗？（补丁/缓解）
🛡️ **补丁**：数据未提及官方具体补丁版本。 💡 **建议**：立即升级至修复后的最新版本，或参考官方安全公告。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**： 1. 限制 `/jmreport/qurestSql` 接口访问。 2. 配置 WAF 拦截 SQL 注入特征。 3. 移除该接口或禁用相关功能。
Q10急不急？（优先级建议）
🔥 **优先级**：极高 (CVSS 9.8)。 ⚡ **行动**：未授权+远程+高危害，建议 **立即修复** 或隔离。