Smartbi 漏洞列表

Smartbi存在文件上传漏洞，攻击者可利用该漏洞通过上传恶意文件来获取服务器权限。

Smartbi是一款商业智能应用，提供了数据集成、分析、可视化等功能，帮助用户理解和使用他们的数据进行决策。 在Smartbi受影响版本中存在权限绕过问题，未授权的攻击者可以通过 RMI 的方式调用 getPassword 接口获取管理员token信息。获取管理员权限后，可进入后台实现任意命令执行，进而对目标系统造成破坏或篡改窃取敏感信息。 FOFA: app="SMARTBI"

FOFA: app="SMARTBI" || body="gcfutil = jsloader.resolve('smartbi.gcf.gcfutil')"

Smartbi修改用户密码漏洞 fofa: title="Smartbi"

Fofa: app="SMARTBI"

Fofa: app="SMARTBI"

Smartbi可在未经过身份认证的情况下，调用后台接口，执行攻击者构造的代码，从而导致服务器失陷。 FOFA: app="SMARTBI"

SmartBi 是一款专业的企业级商业智能（BI）平台，致力于为用户提供高效、灵活的数据分析与可视化解决方案。它支持多源数据整合、自助式分析以及智能报表生成，帮助团队快速洞察业务趋势，赋能数据驱动的决策。Smartbi 的身份验证机制存在设计缺陷，攻击者能够利用默认资源 ID 绕过认证检查，直接获取有效会话凭证。通过后台接口反射调用危险方法，最终可能导致远程代码执行漏洞。

SmartBi 是一款专业的企业级商业智能（BI）平台，致力于为用户提供高效、灵活的数据分析与可视化解决方案。它支持多源数据整合、自助式分析以及智能报表生成，帮助团队快速洞察业务趋势，赋能数据驱动的决策。 Smartbi官方发布安全补丁修复了一处远程代码执行漏洞，该漏洞导致攻击者可绕过认证并调用后台接口实现远程代码执行。利用难度较低，建议受影响的用户尽快修复。

文件上传漏洞发生在应用程序允许用户上传文件的功能中，如果上传功能未能正确地验证和限制上传文件的类型和内容，攻击者可能利用此漏洞上传恶意文件，如包含可执行代码的脚本文件，从而在服务器上执行任意命令，控制或破坏系统。

文件上传漏洞发生在应用程序允许用户上传文件的功能中，如果上传功能未能正确地验证和限制上传文件的类型和内容，攻击者可能利用此漏洞上传恶意文件，如包含可执行代码的脚本文件，从而在服务器上执行任意命令，控制或破坏系统。

弱口令漏洞指的是系统中使用了简单、容易猜测或常见的密码，导致攻击者可以通过猜测或暴力破解的方式轻易获取账户权限，进而访问或控制受影响的系统资源。这种漏洞通常由于缺乏有效的密码策略或用户对安全意识的忽视造成。

Smarbi是由思迈特软件开发的一款企业级商业智能和大数据分析平台，满足用户在企业级报表、数据可视化分析、自助分析平台、数据挖掘建模、AI智能分析等大数据分析需求。攻击者除了可以利用SQL 注入漏洞获取数据库中的信息（例如，管理员后台密码、站点的用户个人信息）之外，甚至在高权限的情况可向服务器中写入木马，进一步获取服务器系统权限。

攻击者除了可以利用 SQL 注入漏洞获取数据库中的信息（例如，管理员后台密码、站点的用户个人信息）之外，甚至在高权限的情况可向服务器中写入木马，进一步获取服务器系统权限。

Smartbi存在权限绕过漏洞，该漏洞是由于 monitor/token 接口对用户的权限校验不当导致的。

Smartbi存在权限绕过漏洞，该漏洞是由于setEngineAddress接口对用户的权限校验不当导致的。

Smartbi存在认证绕过漏洞，该漏洞是由于应用对windowUnloading参数的值校验不当导致的。

Smartbi存在远程代码执行漏洞，该漏洞是由于RMISrevlet接口对用户的请求验证不当导致的。

Smartbi存在远程代码执行漏洞，此漏洞是由于登录代码存在逻辑缺陷导致的。

Smartbi存在敏感信息泄露漏洞，此漏洞是由于逻辑缺陷导致的。

Smartbi在安装时会内置几个用户，在使用特定接口时，构造恶意的攻击数据，导致代码执行。

Smartbi在安装时会内置几个用户，在使用特定接口时，可绕过用户身份认证机制获取其身份凭证，随后可使用获取的身份凭证调用后台接口，可能导致敏感信息泄露和代码执行。

Smartbi 是思迈特软件推出的商业智能BI软件，满足 BI 产品的发展阶段。思迈特软件整合了各行业的数据分析和决策支持的功能需求，满足最终用户在企业级报表、数据可视化分析、自助探索分析、数据挖掘建模、AI 智能分析等场景的大数据分析需求。Smartbi V7 与 V10.5.8 版本之间存在越权访问后台接口漏洞，结合 DB2 JDBC 利用方式，绕过防御检查，可导致 JNDI 注入漏洞，执行任意代码，获取服务器权限。

Smartbi 是企业级商业智能应用平台，已经过多年的持续发展，凝聚了多年的商业智能最佳实践经验，整合了各行业的数据分析和决策支持的功能需求。满足最终用户在企业级报表、数据可视化分析、自助探索分析、数据挖掘建模、AI 智能分析等大数据分析需求。攻击者通过利用权限绕过漏洞，突破原有权限限制，获得管理员或更高权限，从而能够执行核心操作。

Smartbi是广州思迈特软件有限公司旗下的商业智能BI和数据分析品牌。martbi在远程未授权身份认证的情况下，可在绕过用户身份认证机制后未授权访问windowsunloging接口，且该接口存在反序列化远程代码执行漏洞随后可使用获取的身份凭证调用后台接口最终导致代码执行。

Smarbi 是由思迈特软件开发的一款企业级商业智能和大数据分析平台，满足用户在企业级报表、数据可视化分析、自助分析平台、数据挖掘建模、AI智能分析等大数据分析需求。致力于打造产品销售、产品整合、产品应用的生态系统，与上下游厂商、专业实施伙伴和销售渠道伙伴共同为最终用户服务，通过Smartbi应用商店（BI+行业应用）为客户提供场景化、行业化数据分析应用。由于 Smartbi windowUnloading 存在鉴权绕过，导致远程未授权攻击者仍可能通过 windowUnloading 参数绕过身份认证，进一步结合后台接口利用可实现远程代码执行。

Smartbi是企业级商业智能BI和大数据分析品牌，满足用户在企业级报表、数据可视化分析、自助分析平台、数据挖掘建模、AI智能分析等大数据分析需求。攻击者可以在未经身份验证的情况下访问系统内的多数接口，泄露大量敏感信息