KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2026-38158 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
UReport2（ureport）是一款基于 Spring 架构的开源 Java 报表引擎。2026年7月披露 SQL 注入漏洞，远程且无需权限即可利用。报表设计器的数据预览功能 previewData 未对请求携带的 SQL 语句做任何校验，也未配置认证拦截，未经授权的远程攻击者可提交自行构造的 SQL 语句并在后端数据源上执行，读取数据库中的任意数据，导致敏感信息泄漏。上游项目已停止维护，官方未提供修复版本。
受影响版本：2.2.9 及更早版本。
影响范围
官方公告未列出受影响软件明细，请结合自身业务使用的组件版本进行排查。
解决方案
1、利用安全组设置其仅对可信地址开放。
2、升级至最新版本，并持续关注上游版本发布。
3、官方尚未发布修复版本，建议在反向代理层对报表设计器路径强制身份认证，或生产环境不部署 ureport2-console 组件。
参考信息
https://github.com/musesix/cve/blob/main/ureport_sqli/ureport.md
https://github.com/youseries/ureport
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。