Descripción
FineReport 9.0 contiene una vulnerabilidad de recorrido de directorios (path traversal) en la operación design_save_svg de /WebReport/ReportServer que permite a atacantes no autenticados escribir archivos arbitrarios mediante el parámetro filePath. Los atacantes pueden enviar una solicitud POST con secuencias de recorrido de directorios en filePath y una carga útil __CONTENT__ para escribir una webshell JSP y lograr la ejecución remota de código (RCE). La Shadowserver Foundation observó por primera vez evidencia de explotación el 2023-10-14.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- FineReport Afectadas: 9.0
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Exploit publicadogithub.com/NHPT/WebReportV9Exp/blob/main/WebReport_Exp.py
- Exploit publicadogithub.com/PeiQi0/PeiQi-WIKI-Book/blob/main/docs/wiki/oa/%E5%B8%86%E8…
- Referencia en github.comgithub.com/projectdiscovery/nuclei-templates/blob/main/http/vulnerabi…
- Referencia en fanruan.comfanruan.com/en/finereport
- Aviso de vulncheck.comvulncheck.com/advisories/finereport-9.0-unauthenticated-path-traversa…
Ver el texto original en inglés (CVE.org)
FineReport 9.0 Unauthenticated Path Traversal File Write via ReportServer
FineReport 9.0 contains a path traversal vulnerability in the /WebReport/ReportServer design_save_svg operation that allows unauthenticated attackers to write arbitrary files via the filePath parameter. Attackers can send a POST request with directory traversal sequences in filePath and a __CONTENT__ payload to write a JSP webshell and achieve remote code execution. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-14.