安全攻防
evening
JeecgBoot 未授权权限绕过 + SQL 注入组合漏洞分析与复现
2026-09-01
1 阅读
约1分钟阅读
先知社区
字号:
本文分析并复现了 JeecgBoot 低代码平台（≤ 3.9.3）的未授权权限绕过与 SQL 注入组合漏洞。攻击链由三个缺陷叠加而成：其一，Shiro 过滤链中 /**/*.js 等静态资源后缀匿名放行规则与 Spring MVC 路由解析存在差异，攻击者在 /sys/dict/getDictItems/* 接口后附加 .js 即可绕过 JWT 认证，匿名访问敏感数据接口；其二，字典查询四段式编码
这篇文章对您有帮助吗？
订阅66必读
每日精选科技资讯，直达你的邮箱