漏洞概述
opensagres XDocReport v1.0.0 至 v2.1.0 版本中的 FreeMarker 组件存在服务端模板注入（SSTI）漏洞，攻击者可通过注入恶意模板表达式实现任意代码执行。
漏洞详情
- CVE 编号：CVE-2025-64087
- 漏洞类型：服务端模板注入（Server-Side Template Injection, SSTI）
- CVSS 评分：暂无（官方尚未提供 CVSS 评分）
- 影响版本：opensagres XDocReport v1.0.0 至 v2.1.0
影响范围
使用 opensagres XDocReport v1.0.0 至 v2.1.0 版本并启用了 FreeMarker 模板功能的应用程序均可能受到影响。该组件常用于文档生成场景，若未对用户输入进行严格过滤，攻击者可利用此漏洞远程执行任意代码。
风险分析
该漏洞允许未经身份验证的远程攻击者通过构造恶意模板内容，在服务器端执行任意 Java 代码，可能导致系统完全被控制、敏感数据泄露或服务中断等严重后果。
修复建议
- 升级至 opensagres XDocReport 官方修复后的安全版本（建议关注项目 GitHub 仓库的最新发布）。
- 如无法立即升级，应严格限制用户对模板内容的输入权限，并对所有模板变量进行安全转义或白名单校验，避免直接渲染不可信内容。
