FanRuan FineReport: Unauthentifizierte Path Traversal führt zu beliebigem Schreiben von Dateien
Zusammenfassung
FineReport 9.0 enthält eine Path-Traversal-Schwachstelle in der Operation design_save_svg des Endpunkts /WebReport/ReportServer. Ein nicht authentifizierter Angreifer kann über den Parameter filePath mit Verzeichnissprüngen beliebige Dateien schreiben, etwa eine JSP-Webshell, und so Remote Code Execution erreichen. Ausnutzung wurde erstmals am 2023-10-14 durch die Shadowserver Foundation beobachtet, und es existiert öffentlicher Proof-of-Concept-Code.
Betroffen
- FanRuan FineReport 9.0
- Weitere Versionen: Unbekannt.
Behoben in
- Unbekannt. Es wurde kein Herstellerhinweis oder keine korrigierte Version gefunden; FanRuan anfragen.
Umgehung
- Unbekannt aus Herstellerquellen.
- Netzwerkzugriff auf den FineReport-Server einschränken; nicht aus dem Internet erreichbar machen.
- Den Pfad /WebReport/ReportServer auf einem Reverse Proxy oder WAF blockieren oder einschränken.
- Webroot auf unerwartete .jsp-Dateien prüfen.
Ausnutzung
- Ausnutzung in freier Wildbahn beobachtet; erstmals am 2023-10-14 durch Shadowserver erfasst.
- Öffentlicher Proof of Concept verfügbar.
- CISA SSVC: Exploitation poc, automatisierbar ja, technische Auswirkung total.
- CISA-KEV-Status: Unbekannt; widersprüchliche Angaben gefunden.
Unsere Empfehlung
- Alle FineReport-Instanzen inventarisieren und die genauen Versionen bestätigen.
- Für jede 9.x-Installation FanRuan nach dem Advisory und einer korrigierten Version fragen.
- Internetzugriff auf /WebReport/ReportServer sofort entfernen oder einschränken.
- Auf unerwartete .jsp-Dateien und POST-Anfragen an design_save_svg in den Logs prüfen.
- Den CISA-KEV-Katalog und den NVD-Eintrag erneut prüfen, da der NVD-Status Deferred lautet.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory www.vulncheck.com
- FanRuan FineReport product page www.fanruan.com
- Nuclei detection template github.com
- Public exploit script (GitHub) github.com
- PeiQi wiki write-up github.com
- Strix CVE record www.strix.ai
- Vulners RAPID7 entry vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:54.
Referenzen der NVD (5)
- https://github.com/NHPT/WebReportV9Exp/blob/main/WebReport_Exp.py
- https://github.com/PeiQi0/PeiQi-WIKI-Book/blob/main/docs/wiki/oa/%E5%B8%86%E8%BD%AFOA/%E5%B8%86%E8%BD%AF%E6%8…
- https://github.com/projectdiscovery/nuclei-templates/blob/main/http/vulnerabilities/finereport/fine-report-v9…
- https://www.fanruan.com/en/finereport
- https://www.vulncheck.com/advisories/finereport-9.0-unauthenticated-path-traversal-file-write-via-reportserver
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.