CVE-2024-48307 — 神龙十问 AI 深度分析摘要
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：JeecgBoot v3.7.1 存在 **SQL注入** 漏洞。 📉 **后果**：攻击者可通过接口 `/onlDragDatasetHead/getTotalData` 注入恶意SQL，导致 **数据库数据泄露** 或 **被篡改**。
Q2根本原因？（CWE/缺陷点）
🔍 **缺陷点**：后端代码未对输入参数进行严格过滤。 ⚠️ **CWE**：数据中未提供具体CWE编号，但属于典型的 **未验证用户输入** 导致的注入缺陷。
Q3影响谁？（版本/组件）
🎯 **影响对象**：使用 **JeecgBoot v3.7.1** 版本的企业。 🏢 **厂商**：中国国炬（Jeecg）公司。 💻 **场景**：企业级 Web 应用程序（Java低代码平台）。
Q4黑客能干啥？（权限/数据）
💰 **黑客能力**： 1. **读取数据**：提取数据库中的敏感信息。 2. **执行命令**：通过SQL注入可能实现 **任意查询**。 3. **权限**：取决于数据库账户权限，可能获取 **高权限数据**。
Q5利用门槛高吗？（认证/配置）
🚪 **利用门槛**： ✅ **无需认证**（基于描述，通常此类接口若未鉴权则门槛低，但需确认具体环境配置）。 🔧 **配置简单**：直接构造 HTTP 请求即可。 📶 **网络可达**：只要接口暴露在互联网或内网可访问即可利用。
Q6有现成Exp吗？（PoC/在野利用）
🧨 **有现成Exp**： 🔗 **PoC代码**：GitHub 上有多个 Python 脚本（如 `CVE-2024-48307-poc`）。 🛠️ **工具支持**：支持 **批量检测** (`-f url.txt`) 和 **单个检测** (`-u URL`)。 🌍 **在野利用**：暂无明确在野利用报告，但 PoC 已公开。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**： 1. **FOFA搜索**：`title=="JeecgBoot 企业级低代码平台"` 或 `body="window._CONFIG['imgDomainURL']...`。 2. **接口测试**：访问 `/onlDragDatasetHead/getTotalData` 并注入测试 payload。 3.…
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**： 📝 **Issue追踪**：GitHub Issue #7237 有相关讨论。 🔄 **建议**：立即检查版本，若为 v3.7.1 需 **升级** 或应用官方补丁（数据未提供具体补丁链接，需关注官方公告）。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**： 1. **WAF防护**：配置 WAF 规则拦截 SQL 注入特征。 2. **访问控制**：限制 `/onlDragDatasetHead/getTotalData` 接口的 **IP访问权限**。 3. **最小权限**：确保数据库账户权限最小化，禁止高危操作。
Q10急不急？（优先级建议）
⚡ **优先级**：🔴 **高**。 📅 **发布时间**：2024-10-31。 💡 **建议**：SQL注入危害极大，且 PoC 已公开，建议 **立即排查** 并修复，防止数据泄露风险。