jeecms漏洞：一套开源CMS的漏洞“裸奔”史

JEECMS的漏洞，从来不是漏洞新闻，而是漏洞连续剧。去年某政府网站被拖库，漏洞事后溯源，漏洞入口正是漏洞JEECMS的/jeecms_heartbeat.jspx接口——这个连官方文档都懒得提的路径，成了攻击者的漏洞后花园。

这套基于Java的漏洞开源CMS，在政企市场占有率不低。漏洞但它的漏洞代码质量，配得上“开源”二字吗？漏洞我翻过它的源码，SqlMapConfig.xml里躺着大量拼接SQL，漏洞参数化查询形同虚设。漏洞更讽刺的漏洞是，官方补丁公告里总写着“建议升级至最新版本”，漏洞可最新版往往又带新洞。这就像漏水的水管，你堵住一个眼，它从旁边再裂一道缝。

最典型的案例是2021年的com.jeecms.common.web.util.RequestUtils反序列化漏洞。攻击者只需构造一个恶意Cookie，就能触发ObjectInputStream.readObject()，直接拿下服务器权限。当时PoC在GitHub上挂了一周，官方才发补丁。而那一周里，全球有多少台JEECMS服务器在裸奔？没人统计过，但扫描器随便扫扫，就能找到成片暴露的/admin登录页。

漏洞根源不在某段代码，而在设计哲学。JEECMS把大量业务逻辑塞进JSP标签库，导致过滤器链形同虚设。比如XssFilter只过滤了request.getParameter()，但攻击者把payload放进Header或Cookie，filter就哑火了。这种“拆东墙补西墙”的修法，让漏洞像韭菜，割了一茬又一茬。

有人会问：既然这么烂，为什么还用？答案很现实——便宜、好改、招投标加分。某系统集成商告诉我，他们给客户交付的“定制开发”项目，八成是JEECMS套个皮肤。客户验收时只看界面和功能，谁在乎底层是不是筛子？直到某天数据库被勒索，才想起当初没改默认密码admin/jeecms。

写代码的人未必不知道问题。JEECMS的官方论坛里，开发者抱怨“老代码不敢动，动了就崩”。这像极了年久失修的老房子——你明知电线老化，但一改就全楼跳闸，干脆糊上绝缘胶布继续用。可攻击者不这么想，他们拿着万能钥匙，挨个试锁孔。

说到底，JEECMS漏洞是一面镜子，照出整个行业对安全的漠视。补丁永远慢半拍，默认配置永远不安全，文档永远回避风险提示。如果你还在用这套CMS，别指望官方救你——把/admin路径改掉，禁掉不必要的jspx接口，给数据库账号配上最小权限。这些土办法，比等补丁靠谱得多。

安全从来不是某个版本的事，而是持续对抗的过程。JEECMS的教训是：当一套系统把“能用”当“安全”，那么它的每一次更新，都只是下一次攻击的预热。