帆软FineReport export/excel SQL注入漏洞安全风险通告

01 漏洞详情

影响组件

帆软报表（FineReport）是由帆软软件有限公司推出的企业级 Web 报表与数据分析平台，支持拖拽式报表设计、多数据源接入、可视化大屏及二次开发，广泛应用于金融、电信、政府等行业的经营分析、监管报送与决策支持场景。

漏洞描述

近日，奇安信CERT监测到官方修复帆软FineReport export/excel SQL注入漏洞(QVD-2025-48729)，该漏洞源于对 export/excel 接口传入的参数没有严格校验，攻击者可构造恶意的 SQL 语句上传 Webshell 实现远程代码执行，进而获取服务器权限。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

02 影响范围

影响版本

FineReport < 11.5.4.1

FineBi 7.0.* < 7.0.5

FineBi 6.1.* < 6.1.8

FineBi 6.0.* < 6.0.24

FineDataLink 5.0.* < 5.0.4.3

FineDataLink 4.0.* < 4.2.11.3

>>>>

其他受影响组件

无

03 复现情况

目前，奇安信威胁情报中心安全研究员已成功复现帆软FineReport export/excel SQL注入漏洞(QVD-2025-48729)，截图如下：

04 受影响资产情况

奇安信鹰图资产测绘平台数据显示，帆软FineReport export/excel SQL注入漏洞(QVD-2025-48729)关联的国内风险资产总数为5920个，关联IP总数为1165个。国内风险资产分布情况如下：

05 处置建议

安全更新

官方已发布安全补丁，请及时更新至最新版本：

FineReport >= 11.5.4.1

FineBi 7.0.* >= 7.0.5

FineBi 6.1.* >= 6.1.8

FineBi 6.0.* >= 6.0.24

FineDataLink 5.0.* >= 5.0.4.3

FineDataLink 4.0.* >= 4.2.11.3

下载地址：

https://help.fanruan.com/finereport/doc-view-4833.html

06 参考资料

[1]https://help.fanruan.com/finereport/doc-view-4833.html

声明：本文来自奇安信 CERT，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。