یک آسیب‌پذیری از نوع Server-Side Request Forgery (SSRF) در پلتفرم توسعه کم‌کد (Low-code) JeecgBoot (تا نسخه 3.9.5) شناسایی شده است. این نقص امنیتی در اندپوینت /openapi/call و تابع OpenApiController.call رخ می‌دهد و به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت، سرور را مجبور به ارسال درخواست‌هایی به مقاصد دلخواه در شبکه داخلی یا نقاط انتهایی متادیتای ابری (Cloud Metadata Endpoints) کنند.
تحلیل فنی و مکانیسم حمله
این آسیب‌پذیری (CWE-918) ناشی از عدم اعتبارسنجی مناسب مقاصد خروجی در پارامترهای ارسالی به اندپوینت OpenAPI است. علاوه بر این، فیلتر احراز هویت (Authentication Filter) این بخش قابل دور زدن است؛ بر اساس گزارش‌های موجود، این Bypass احتمالاً از طریق مدیریت نادرست متد OPTIONS در مسیر OpenAPI صورت می‌گیرد.
در یک سناریوی حمله، عامل تهدید با ارسال یک درخواست دستکاری‌شده به /openapi/call، از سرور JeecgBoot به عنوان یک پروکسی برای شناسایی سرویس‌های داخلی یا استخراج اطلاعات حساس از زیرساخت‌های ابری استفاده می‌کند.
ارزیابی شدت و ریسک
این نقص با امتیاز 6.9 در استاندارد CVSS 4.0 (Medium) رتبه‌بندی شده است. اگرچه پیچیدگی حمله پایین و دسترسی به آن از راه دور و بدون احراز هویت است، اما تأثیر نهایی آن به موقعیت شبکه سرور و دسترسی‌های خروجی آن بستگی دارد. در حال حاضر یک PoC (اثبات مفهوم) در گیت‌هاب منتشر شده است، اما شواهدی مبنی بر بهره‌برداری گسترده یا ثبت آن در لیست CISA KEV وجود ندارد.
راهکارهای مقابله و کاهش ریسک
تا این لحظه هیچ پَچ رسمی از سوی سازنده منتشر نشده و پاسخ‌های لازم به گزارش‌های امنیتی داده نشده است. بنابراین، مدیران SOC و مهندسان امنیت باید استراتژی‌های کاهش ریسک زیر را به کار گیرند:
- محدود کردن دسترسی به اندپوینت: مسدود کردن یا تعریف لیست سفید (Allowlist) برای مسیر
/openapi/callدر سطح WAF، Reverse Proxy یا Gateway تا تنها منابع مورد اعتماد به آن دسترسی داشته باشند. - اعمال فیلترینگ خروجی (Egress Filtering): محدود کردن دسترسی‌های شبکه سرور برای جلوگیری از برقراری ارتباط با آدرس‌های Link-local متادیتای ابری، پنل‌های مدیریتی داخلی و زیرشبکه‌های غیرمرتبط.
- پایش ترافیک: نظارت دقیق بر درخواست‌های خروجی غیرعادی از سمت سرورهای JeecgBoot برای شناسایی تلاش‌های احتمالی برای شناسایی شبکه (Network Probing).
به‌روزرسانی (نوامبر 12, 2026 — Vuln Today)
به‌روزرسانی: یک آسیب‌پذیری جدید از نوع Server-Side Request Forgery (SSRF) با شناسه CVE-2026-126997 در پلتفرم JeecgBoot شناسایی شده است که نسخه‌های 3.9.0 تا 3.9.6 را تحت تأثیر قرار می‌دهد. این نقص در اندپوینت flow-run مربوط به ماژول AiRAG و به‌طور مشخص در فایل org/jeecg/modules/airag/flow/c/a.class وجود دارد.
این آسیب‌پذیری به دلیل عدم اعتبارسنجی مناسب در متد RestTemplate.exchange رخ می‌دهد و به یک مهاجم بدون نیاز به احراز هویت (Unauthenticated) اجازه می‌دهد تا سرور را مجبور به ارسال درخواست‌های HTTP به مقاصد داخلی یا نقاط انتهایی Metadata در محیط‌های ابری کند. با وجود اینکه تأثیر این نقص بر محرمانگی و یکپارچگی داده‌ها در سطح Low ارزیابی شده است، اما می‌تواند به عنوان نقطه‌ای برای جابه‌جایی (Pivot) در شبکه داخلی مورد استفاده قرار گیرد.
با توجه به اینکه هنوز پَچ رسمی از سوی سازنده منتشر نشده است، توصیه‌های فنی زیر برای کاهش ریسک ارائه می‌شود:
- محدود کردن دسترسی: مسدود کردن دسترسی مستقیم به اندپوینت آسیب‌پذیر و قرار دادن آن پشت یک Reverse Proxy با قابلیت احراز هویت یا استفاده از IP Allowlist.
- غیرفعال‌سازی ماژول: در صورتی که قابلیت‌های AI Flow مورد نیاز نیست، ماژول AiRAG به‌طور کامل غیرفعال شود.
- فیلترینگ خروجی (Egress Filtering): اعمال محدودیت‌های سخت‌گیرانه بر ترافیک خروجی سرور برای جلوگیری از ارتباط با رنج‌های IP داخلی و سرویس‌های حساس شبکه.
جمع‌بندی موارد گزارش‌شده JeecgBoot
- through — Server-Side Request Forgery (SSRF) — CVE-2026-126998
- through 3.9.5 — Server-Side Request Forgery (SSRF) — CVE-2026-126997
