CVE-2023-1454 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Jeecg-Boot 存在未授权 SQL 注入漏洞。 💥 **后果**：攻击者可非法获取数据库敏感信息，甚至写入木马获取服务器权限。

🔍 **CWE**：CWE-89 (SQL注入)。 📍 **缺陷点**：接口 `/jmreport/qurestSql` 中的参数 `apiSelectId` 未做过滤，直接拼接 SQL。

📦 **产品**：Jeecg-Boot (基于代码生成器的低代码平台)。 📅 **版本**：v3.5.0 (受影响)。

🕵️ **数据**：窃取管理员密码、用户个人信息等数据库内容。 🔓 **权限**：高权限下可写入木马，进一步获取服务器系统权限。

🚪 **门槛**：低。 🔑 **认证**：**未授权** (无需登录即可利用)。 🌐 **网络**：远程利用 (AV:N)。

🧪 **PoC/Exp**：有。 📂 **来源**：GitHub 多个仓库提供扫描脚本 (Python) 和 SQLMap 数据包。 ⚠️ **注意**：存在在野利用风险。

🔎 **FOFA**：`title=="JeecgBoot 企业级低代码平台"`。 📊 **规模**：约 3957 台资产受影响。 🛠️ **工具**：使用提供的 Python 脚本批量检测。

🛡️ **补丁**：数据未提及官方具体补丁版本。 💡 **建议**：立即升级至修复后的最新版本，或参考官方安全公告。

🚧 **临时规避**： 1. 限制 `/jmreport/qurestSql` 接口访问。 2. 配置 WAF 拦截 SQL 注入特征。 3. 移除该接口或禁用相关功能。

🔥 **优先级**：极高 (CVSS 9.8)。 ⚡ **行动**：未授权+远程+高危害，建议 **立即修复** 或隔离。