A vulnerability was determined in JeecgBoot up to 3.9.1. Affected by this issue is the function checkPathTraversalBatch of the file FileDownloadUtils.jav of the component LoadFile Endpoint. This manipulation of the argument files causes server-side request forgery. It is possible to initiate the attack remotely. The exploit has been publicly disclosed and may be utilized. The affected component should be upgraded. The vendor confirmed the issue and will provide a fix in the upcoming release.
JeecgBoot versions up to 3.9.1 contain a server-side request forgery (SSRF) vulnerability in the FileDownloadUtils component that allows remote attackers to manipulate file paths. The vulnerability exists in the checkPathTraversalBatch function and can be exploited without authentication.
تؤثر هذه الثغرة على وظيفة checkPathTraversalBatch في ملف FileDownloadUtils.java بمكون LoadFile Endpoint في JeecgBoot. يمكن للمهاجمين استغلال معاملات الملفات المعيبة لتنفيذ هجمات SSRF والوصول إلى موارد داخلية. تم الكشف عن الثغرة علناً وقد يتم استخدامها بالفعل في الهجمات.
إصدارات JeecgBoot حتى 3.9.1 تحتوي على ثغرة SSRF في مكون FileDownloadUtils تسمح للمهاجمين بالتلاعب بمسارات الملفات عن بعد. تقع الثغرة في دالة checkPathTraversalBatch ويمكن استغلالها بدون مصادقة.
Immediately upgrade JeecgBoot to version 3.9.2 or later when available. Implement network segmentation to restrict outbound connections from application servers. Apply input validation and sanitization for file path parameters. Disable or restrict access to the LoadFile endpoint if not required. Monitor for suspicious file download requests and implement Web Application Firewall (WAF) rules to block path traversal attempts.
قم بترقية JeecgBoot إلى الإصدار 3.9.2 أو أحدث عند توفره فوراً. طبق تقسيم الشبكة لتقييد الاتصالات الخارجة من خوادم التطبيقات. طبق التحقق من صحة وتنظيف معاملات مسارات الملفات. عطل أو قيد الوصول إلى نقطة نهاية LoadFile إذا لم تكن مطلوبة. راقب طلبات تنزيل الملفات المريبة وطبق قواعد جدار الحماية لحجب محاولات اجتياز المسار.