文章总结： 奇安信CERT发布帆软FineReportexport/excelSQL注入漏洞(QVD-2025-48729)通告，该漏洞高危，CVSS评分9.8，攻击者可通过构造恶意SQL语句上传Webshell实现远程代码执行获取服务器权限。影响FineReport11.5.4.1以下版本及多个FineBi和FineDataLink版本，国内风险资产约5920个。官方已发布补丁，建议尽快更新至安全版本。 综合评分： 91 文章分类： 漏洞分析,漏洞预警,WEB安全,漏洞POC,安全风险通告

【已复现】帆软FineReport export/excel SQL注入漏洞(QVD-2025-48729)安全风险通告

奇安信 CERT

2025年12月17日 10:40 北京

● 点击↑蓝字关注我们，获取更多安全风险通告

| | | | | | — | — | — | — | | 漏洞概述 | | | | | 漏洞名称 | 帆软FineReport export/excel SQL注入漏洞 | | | | 漏洞编号 | QVD-2025-48729 | | | | 公开时间 | 2025-12-15 | 影响量级 | 万级 | | 奇安信评级 | 高危 | CVSS 3.1分数 | 9.8 | | 威胁类型 | 代码执行 | 利用可能性 | 高 | | POC状态 | 未公开 | 在野利用状态 | 未发现 | | EXP状态 | 未公开 | 技术细节状态 | 未公开 | | 危害描述：攻击者可构造恶意的 SQL 语句上传 Webshell 实现远程代码执行，进而获取服务器权限。 | | | |

01

漏洞详情

>>>>

影响组件

帆软报表（FineReport）是由帆软软件有限公司推出的企业级 Web 报表与数据分析平台，支持拖拽式报表设计、多数据源接入、可视化大屏及二次开发，广泛应用于金融、电信、政府等行业的经营分析、监管报送与决策支持场景。

>>>>

漏洞描述

近日，奇安信CERT监测到官方修复帆软FineReport export/excel SQL注入漏洞(QVD-2025-48729)，该漏洞源于对 export/excel 接口传入的参数没有严格校验，攻击者可构造恶意的 SQL 语句上传 Webshell 实现远程代码执行，进而获取服务器权限。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

02

影响范围

>>>>

影响版本

FineReport < 11.5.4.1

FineBi 7.0.* < 7.0.5

FineBi 6.1.* < 6.1.8

FineBi 6.0.* < 6.0.24

FineDataLink 5.0.* < 5.0.4.3

FineDataLink 4.0.* < 4.2.11.3

>>>>

其他受影响组件

无

03

复现情况

目前，奇安信威胁情报中心安全研究员已成功复现帆软FineReport export/excel SQL注入漏洞(QVD-2025-48729)，截图如下：

04

受影响资产情况

奇安信鹰图资产测绘平台数据显示，帆软FineReport export/excel SQL注入漏洞(QVD-2025-48729)关联的国内风险资产总数为5920个，关联IP总数为1165个。国内风险资产分布情况如下：

05

处置建议

>>>>

安全更新

官方已发布安全补丁，请及时更新至最新版本：

FineReport >= 11.5.4.1

FineBi 7.0.* >= 7.0.5

FineBi 6.1.* >= 6.1.8

FineBi 6.0.* >= 6.0.24

FineDataLink 5.0.* >= 5.0.4.3

FineDataLink 4.0.* >= 4.2.11.3

下载地址：

https://help.fanruan.com/finereport/doc-view-4833.html

06

参考资料

[1]https://help.fanruan.com/finereport/doc-view-4833.html

07

时间线

2025年12月17日，奇安信 CERT发布安全风险通告。

08

漏洞情报服务

奇安信ALPHA威胁分析平台已支持漏洞情报订阅服务：

奇安信 CERT

致力于第一时间为企业级用户提供权威漏洞情报和有效解决方案。

点击↓阅读原文，到ALPHA威胁分析平台订阅更多漏洞信息。

查看原文：《【已复现】帆软FineReport export/excel SQL注入漏洞(QVD-2025-48729)安全风险通告》