Jeecg JimuReport /jmreport/testConnection 代码执行漏洞（CVE-2025-66913）

日期: 2026-01-23 | 影响软件: Jeecg JimuReport | POC: 否

漏洞描述

Jeecg JimuReport是一款基于Java的报表设计工具，该产品2.1.3及之前版本中，/jmreport/testConnection接口对用户可控的H2 JDBC URL输入未进行充分验证和过滤，直接将攻击者提供的URL传递给H2数据库驱动。攻击者可利用H2数据库支持在JDBC URL中嵌入初始化指令的特性，构造包含恶意Java代码的JDBC URL，创建自定义函数并执行系统命令，最终实现远程代码执行。该漏洞利用无需身份验证和用户交互，攻击复杂度低，危害极大。

PoC代码

暂无

相关漏洞推荐