30秒で判断
- 対応すべき人: 低コード開発プラットフォーム「JeecgBoot」バージョン3.9.5を運用している人（特にJimuBI機能を有効化している場合）
- 対応不要な人: JeecgBootを利用していない人、JimuBI機能を無効化している人
- 確認コマンド: JeecgBootの管理画面またはパッケージ情報でバージョンを確認。
3.9.5であれば該当
概要
中国発の低コード開発プラットフォーム「JeecgBoot」に、SQLインジェクションの脆弱性が見つかりました。JimuBIコンポーネントの /jeecg-boot/drag/onlDragDatasetHead/getAllChartData エンドポイントにおいて、params 引数の処理に問題があり、不正なSQL文が実行される可能性があります。リモートからの攻撃が可能とされ、この脆弱性を実証するPoCが公開されています。ベンダーには事前に連絡されましたが、現時点で応答はないとされています。SQLインジェクションはデータベース内の情報漏えいや改ざんにつながる可能性があるため、早めの確認が望まれます。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 7.3 (High) |
| CVSSバージョン | 3.1 |
| CWE | CWE-74（Injection）, CWE-89（SQL Injection） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| JeecgBoot | JeecgBoot | 3.9.5 |
修正バージョンと回避策
現時点で公式の修正バージョン情報はデータ上確認できていません。回避策として、JimuBIのChart Generator機能へのアクセスを信頼できるネットワークやユーザーに限定し、WAF等でSQLインジェクションパターンを検知・遮断することを推奨します。ベンダーからの今後のアップデートを継続的に確認してください。
関連リンク
データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。