CVE-2023-4450
jeecgboot JimuReport टेम्पलेट इंजेक्शन
- प्रकाशित
- 21 अग॰ 2023
- अद्यतन
- 2 जुल॰ 2025
- सीएनए असाइन करना
- VulDB
- साक्ष्य देखे गए
- 8 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hमध्यम · अगले 30 दिन
- प्रतिशत
- 96.0%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
jeecgboot JimuReport 1.6.0 तक के संस्करण में एक भेद्यता पाई गई। इसे क्रिटिकल घोषित किया गया है। इस भेद्यता से प्रभावित घटक Template Handler का एक अज्ञात कार्यक्षमता है। हेरफेर इंजेक्शन की ओर ले जाता है। हमला दूरस्थ रूप से शुरू किया जा सकता है। इस शोषण को सार्वजनिक रूप से प्रकट किया गया है और इसका उपयोग किया जा सकता है। संस्करण 1.6.1 में अपग्रेड करने से यह समस्या हल हो सकती है। प्रभावित घटक को अपग्रेड करने की अनुशंसा की जाती है। इस भेद्यता का संबद्ध पहचानकर्ता VDB-237571 है।
स्रोत
jimureport/CVE-2023-4450
JeecgBoot JimuReport FreeMarker Server Side Template Injection RCE (CVE-2023-4450)
Vulhub vulnerability labsघोषित शर्तें
- lab image version: vulhub/jimureport:1.6.0(jimureport/CVE-2023-4450/docker-compose.yml:services.web.image)
- lab image version: mysql:5.7(jimureport/CVE-2023-4450/docker-compose.yml:services.db.image)
http/cves/2023/CVE-2023-4450.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)
- oob: interactsh_reference($.template_text)
- CVE-2023-4450-Attackएक्सप्लॉइट
CVE-2023-4450 के लिए स्वचालित जावा-आधारित शोषण उपकरण जो JimuReport को लक्षित करता है, जिसमें पेनिट्रेशन परीक्षण हेतु कमांड निष्पादन और मेमोरी शेल इंजेक्शन (Behinder) शामिल है।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।