CVE-2021-48014
FanRuan FineReport
De quoi s’agit-il ?
FineReport ne limite pas correctement les emplacements où il enregistre les fichiers. Un attaquant peut lui faire écrire des fichiers en dehors de l’emplacement prévu.
Quels sont les risques ?
Un attaquant qui peut joindre FineReport par le réseau peut écrire des fichiers arbitraires sans se connecter à un compte. Il peut ainsi exécuter son propre programme sur le serveur.
Quel est le degré d’urgence ?
Cette vulnérabilité est déjà utilisée dans des attaques. Il est important de la corriger, car elle permet à un attaquant d’exécuter son propre programme sur le serveur sans se connecter à un compte.
Qui est concerné ?
FineReport 9.0 est concerné. On ignore si d’autres versions sont touchées.
Que faire ?
Consultez l’avis de sécurité de FanRuan pour connaître la correction validée par l’éditeur. Aucune version corrigée ni mesure de contournement n’est précisée.
Comment vérifier votre serveur
Relevez la version de FineReport installée et comparez-la aux versions concernées et aux recommandations de correction dans l’avis de l’éditeur.
Détails techniques
- CVE
- CVE-2021-48014
- Publié le
- 22 octobre 2026
- CWE
- CWE-22
- CVSS
- 9.3
- CVSS vector
- CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
- EPSS
- 1,7 % de probabilité d’une tentative d’attaque dans les 30 prochains jours
- Preuves d’attaque
- attaques observées
CVSS mesure la gravité technique sur une échelle allant jusqu’à 10. Les conditions d’attaque et l’urgence sont expliquées ci-dessus.
EPSS estime la probabilité d’une tentative d’exploitation dans les 30 prochains jours, pas celle d’une compromission de votre serveur.