首页 > 开源 > JimuBI v2.5.6 发布，修复 7 项安全漏洞

JimuBI v2.5.6 发布，修复 7 项安全漏洞

OSChina资讯 2026-11-01 23:08 9 阅读查看原文

AI大屏数据可视化积木报表

项目介绍

真正的 AI 大屏来了，一句话描述需求，AI 自动生成数据大屏与仪表盘，支持对话式修改优化 :sparkles:

积木报表是一款免费的数据可视化报表工具，像搭积木一样完全在线设计。分三大模块：JimuReport 主攻复杂报表与打印，JimuBI 专注数据大屏与仪表盘可视化，JimuChatBI 提供对话式智能数据分析。

AI 智能生成：一句话生成大屏、仪表盘和门户，告别繁琐拖拽。
全场景覆盖：大屏、仪表盘、门户、移动端一次开发、多端适配。
类 Word 大屏设计：组件随意拖动、自由组合，轻松做出炫酷大屏。
丰富的数据集：支持 SQL、API、JSON、WebSocket 等数据集，兼容主流及国产信创数据库。

积木BI工作台

当前版本：v2.5.6 | 2026-11-01

:warning:️ 本次包含多项安全修复（仪表盘配置与数据集匿名读取、请求签名复用、内网地址访问、SQL 注入等），强烈建议所有用户升级到 v2.5.6。

依赖坐标

springboot3

<dependency>
  <groupId>org.jeecgframework.jimureport</groupId>
  <artifactId>jimubi-spring-boot3-starter</artifactId>
  <version>2.5.6</version>
</dependency>

springboot4

<dependency>
  <groupId>org.jeecgframework.jimureport</groupId>
  <artifactId>jimubi-spring-boot4-starter</artifactId>
  <version>2.5.6</version>
</dependency>

springboot2（不支持 AI 助手）

<dependency>
  <groupId>org.jeecgframework.jimureport</groupId>
  <artifactId>jimubi-spring-boot-starter</artifactId>
  <version>2.3.2</version>
</dependency>

:warning:️ 版本配套：积木报表、积木 BI、JimuChatBI 签名方案同源，同时集成时请一起升级（积木报表 2.5.6 + 积木 BI 2.5.6 + JimuChatBI 1.2.0），否则会出现验签失败。

升级日志

继 v2.5.4 之后，v2.5.6 重点围绕分享页与匿名访问安全做了一轮系统加固，堵住了仪表盘配置、数据集 SQL 可被匿名读取等多个漏洞；同时解决了分享大屏挂久了取数报「签名不匹配」、多窗口只有一个能收到 WebSocket 推送等客户反馈较多的问题，并对数据集权限校验和使用数量统计做了性能优化。

一、安全加固

修复仪表盘查询接口在未登录时可读取任意仪表盘配置的问题，匿名访问现在必须持有有效的分享链接，返回内容中的敏感信息会被隐藏（GHSA-4gwq-w639-8jcc）
修复未登录用户可借助请求签名读取任意数据集 SQL 并取数的问题，匿名访问只允许查看已分享或模板页面中用到的数据集（GHSA-g663-2fcq-qq94）
加强请求签名校验，修复签名可被复用到其他请求、时间戳可伪造的问题
API 数据集和 AI 接口增加出站地址校验，防止被用来访问服务器内网地址，规则与积木报表保持一致（GHSA-5g5g-43q2-g87v）
修复大屏取数接口筛选条件存在 SQL 注入风险的问题
修复大屏取数接口数据集参数值存在 SQL 注入风险的问题
签名秘钥治理：前端不再内置固定秘钥，改为从后台获取短期签名票据并自动续期，解决后台自定义秘钥后敲敲云模式验签失败的问题

二、分享与签名问题修复