关键漏洞信息 漏洞名称 Jeecgboot#9租户日志导出功能 漏洞类型 文件下载漏洞 影响版本 Jeecgboot 3.0.0-RC2及之前版本 漏洞描述 1. 问题描述： - Jeecgboot的租户日志导出功能存在任意文件下载漏洞，攻击者可以通过构造特定请求下载系统敏感文件。 - 攻击者可以访问 接口，并通过设置 参数来指定要下载的文件路径。 2. 影响范围： - 该漏洞允许攻击者下载系统配置文件、数据库连接信息、用户数据等敏感信息。 - 攻击者还可以利用此漏洞进一步获取系统权限，进行更深层次的渗透和攻击。 3. 修复建议： - 对 接口进行严格的安全校验，确保只能下载指定目录下的文件。 - 增加对 参数的过滤和验证，防止路径穿越攻击。 技术细节 PoC (Proof of Concept)： 影响： - 信息泄露：攻击者可以下载系统配置文件、数据库连接信息等敏感信息。 - 权限提升：攻击者可能利用下载的敏感信息进一步提升权限。 - 数据泄露：攻击者可以下载用户数据，导致数据泄露。 参考链接 CVE详情 官方公告 ```