Jeecg boot up to v3.5.3 was discovered to contain a SQL injection vulnerability via the component /jeecg-boot/jmreport/show.
##### 版本号：
3.5.3

##### 前端版本：vue3版？还是 vue2版？
vue3

##### 问题描述：
/jeecg-boot/jmreport/show接口存在sql注入，攻击者可以利用布尔盲注绕过防护。

##### 截图&代码：
org/jeecg/modules/jmreport/common/b/i.class
![1](https://cosmoslin.oss-cn-chengdu.aliyuncs.com/img2/%E6%88%AA%E5%B1%8F2023-08-25%2022.29.49-2974060.png)
黑名单如下：" exec |peformance_schema|information_schema|extractvalue|updatexml|geohash|gtid_subset|gtid_subtract| insert | alter | delete | grant | update | drop | chr | mid | master | truncate | char | declare |user()|";
攻击者可以通过构造布尔盲注绕过：
![](https://cosmoslin.oss-cn-chengdu.aliyuncs.com/img2/%E6%88%AA%E5%B1%8F2023-08-25%2022.19.19.png)
脚本如下：
![](https://cosmoslin.oss-cn-chengdu.aliyuncs.com/img2/%E6%88%AA%E5%B1%8F2023-08-25%2022.20.19.png)


其他相关接口同样存在问题

#### 友情提示（为了提高issue处理效率）：
  - 未按格式要求发帖，会被直接删掉;
  - 描述过于简单或模糊，导致无法处理的，会被直接删掉；
  - 请自己初判问题描述是否清楚，是否方便我们调查处理；
  - 针对问题请说明是Online在线功能(需说明用的主题模板)，还是生成的代码功能；

  

jeecgboot3.5.3 存在未授权sql注入（布尔盲注绕过）
This is a GitHub Issue
repo:jeecg-boot
owner:jeecgboot
Title : jeecgboot3.5.3 存在未授权sql注入（布尔盲注绕过）
Issue date:

--- start body ---
##### 版本号：
3.5.3

##### 前端版本：vue3版？还是 vue2版？
vue3

##### 问题描述：
/jeecg-boot/jmreport/show接口存在sql注入，攻击者可以利用布尔盲注绕过防护。

##### 截图&代码：
org/jeecg/modules/jmreport/common/b/i.class
![1](https://cosmoslin.oss-cn-chengdu.aliyuncs.com/img2/%E6%88%AA%E5%B1%8F2023-08-25%2022.29.49-2974060.png)
黑名单如下：" exec |peformance_schema|information_schema|extractvalue|updatexml|geohash|gtid_subset|gtid_subtract| insert | alter | delete | grant | update | drop | chr | mid | master | truncate | char | declare |user()|";
攻击者可以通过构造布尔盲注绕过：
![](https://cosmoslin.oss-cn-chengdu.aliyuncs.com/img2/%E6%88%AA%E5%B1%8F2023-08-25%2022.19.19.png)
脚本如下：
![](https://cosmoslin.oss-cn-chengdu.aliyuncs.com/img2/%E6%88%AA%E5%B1%8F2023-08-25%2022.20.19.png)


其他相关接口同样存在问题

#### 友情提示（为了提高issue处理效率）：
  - 未按格式要求发帖，会被直接删掉;
  - 描述过于简单或模糊，导致无法处理的，会被直接删掉；
  - 请自己初判问题描述是否清楚，是否方便我们调查处理；
  - 针对问题请说明是Online在线功能(需说明用的主题模板)，还是生成的代码功能；

  

--- end body ---
