CVE-2026-58375

Nome do Software Vulnerável e Versões Afetadas JimuReport versões anteriores a 2.5.1

Descrição O aplicativo expõe o endpoint POST '/jmreport/auto/export' sem autenticação porque o manipulador é anotado com @JimuNoLoginRequired, fazendo com que o JimuReportTokenInterceptor ignore as verificações de autenticação e autorização. Além disso, o serviço de exportação transmite relatórios renderizados para qualquer identificador de relatório fornecido sem verificar a flag de configuração de exportação automática. Isso permite que um invasor remoto não autenticado enumere identificadores de relatórios Snowflake e exporte o conteúdo completo de qualquer relatório, o que pode incluir dados de consultas SQL configuradas e credenciais incorporadas em fontes de dados.

Recomendações Atualize o JimuReport para uma versão posterior a 2.5.0. Restrinja o acesso ao endpoint '/jmreport/auto/export' para minimizar o risco de exploração.