攻擊者通過在HTTP GET請求中傳遞特殊構(gòu)造的參數(shù)，利用/webroot/decision/view/ReportServer?test=接口將惡意SQL代碼解碼并執(zhí)行，將惡意Java代碼寫入到數(shù)據(jù)庫中，并通過導(dǎo)出數(shù)據(jù)庫落地木馬文件，從而實現(xiàn)遠程代碼執(zhí)行（RCE）。

該漏洞允許攻擊者在目標服務(wù)器上執(zhí)行任意代碼，可能導(dǎo)致完全控制服務(wù)器、竊取敏感數(shù)據(jù)以及執(zhí)行惡意操作（如植入后門、挖礦等）。

截止7月23日，廠商暫未發(fā)布安全修復(fù)版本，可聯(lián)系官方售后或客服及時獲取修復(fù)后的最新版本，官網(wǎng)地址：https://www.fanruan.com/同時可使用以下官方提供的緩解措施來應(yīng)對風(fēng)險：

使用應(yīng)用內(nèi)置的Web應(yīng)用防火墻插件來檢測和阻止SQL注入等攻擊。WAF可以在檢測到惡意請求時自動攔截，保護后端系統(tǒng)免受攻擊。可在官網(wǎng)https://help.fanruan.com/finereport/doc-view-5287.html查詢配置方法。

在 url.properties 文件中，添加以下規(guī)則：rule3=/view/ReportServer、rule4=/view/ReportServer/

刪除 sqlite 驅(qū)動：請從工程的 webappsl\webroot\WEB-INFVib 目錄中刪除sqlite-jdbcx.x.x.x.jar 驅(qū)動文件，并重啟工程以完成更改。