Smartbi windowUnloading 未授权远程命令执行

预览

Smarbi 是由思迈特软件开发的一款企业级商业智能和大数据分析平台，满足用户在企业级报表、数据可视化分析、自助分析平台、数据挖掘建模、AI智能分析等大数据分析需求。致力于打造产品销售、产品整合、产品应用的生态系统，与上下游厂商、专业实施伙伴和销售渠道伙伴共同为最终用户服务，通过Smartbi应用商店（BI+行业应用）为客户提供场景化、行业化数据分析应用。由于 Smartbi windowUnloading 存在鉴权绕过，导致远程未授权攻击者仍可能通过 windowUnloading 参数绕过身份认证，进一步结合后台接口利用可实现远程代码执行。

预览

未经身份验证的攻击者通过该漏洞可绕过权限校验调用后台接口，可能导致敏感信息泄露和代码执行。

预览

1、更新升级：目前官方已发布安全补丁，建议受影响用户安装最新发布的补丁 ：
https://www.smartbi.com.cn/patchinfo

在线更新：登陆到Smartbi 后台->右上角系统监控->系统补丁->安装补丁->在线更新
手动升级：下载补丁->登录后台->右上角系统监控->系统补丁->安装补丁->手动更新