积木报表软件存在AviatorScript代码注入RCE漏洞

[fallingskies22]

版本号：

v1.7.8

问题描述：

积木报表软件存在AviatorScript代码注入RCE漏洞

使用接口/jmreport/save处在text中写入AviatorScript表达式
访问/jmreport/show触发AviatorScript解析从而导致命令执行。

错误截图：

访问官网，创建报表，在报表表格中写入AviatorScript表达式

访问创建的报表

触发命令执行，获取官网服务器权限

友情提示：

• 未按格式要求发帖、描述过于简单的，会被直接删掉;
• 描述问题请图文并茂，方便我们理解并快速定位问题;
• 如果使用的不是master，请说明你使用的分支;

[jeecgos]

cr

[hoperunChen]

已修复，待新版本发布。