积木报表官方推进漏洞清零计划，从 10 月份至今已经完成 32 个安全漏洞的修复工作，另外还落地了 5 项安全加固措施，覆盖 SQL 注入、权限绕过、文件上传、接口未授权访问等高危风险点，这次集中整改主要是为了降低企业使用积木报表时的被攻击风险，很多中小项目、后台系统都在用积木报表，一旦存在漏洞，容易被黑客利用拖库、越权查看数据，所以官方集中梳理存量漏洞、补齐安全短板。下面把漏洞分类、加固项目、自查升级步骤整理出来。
已修复 32 个安全漏洞分类清单
- SQL 注入类：11 个，主要集中在报表查询、参数解析模块
- 未授权访问 / 权限绕过类：9 个，接口、预览页面、模板接口存在越权问题
- 文件风险类：6 个，包含任意文件读取、不安全文件上传漏洞
- XSS 跨站脚本类：4 个，报表标题、备注、自定义脚本输入点
- 其他逻辑漏洞：2 个，会话校验、异常报错信息泄露
5 项安全加固项目明细
- 全局接口鉴权加固：所有后端接口统一增加权限校验，关闭匿名访问通道
- 参数过滤强化：对报表接收的查询参数做严格转义、黑名单校验
- 文件上传管控：限制上传文件后缀、上传目录隔离，禁止执行脚本文件
- 错误信息脱敏：关闭详细报错堆栈输出，避免泄露路径、数据库信息
- 会话安全优化：增加会话超时、防会话劫持相关校验逻辑
企业自查与升级操作步骤
- 确认当前部署的积木报表版本，核对是否在受影响版本范围
- 前往积木报表官方仓库，下载包含本次漏洞修复的新版本安装包
- 测试环境先升级，验证原有报表、数据集、打印模板功能是否正常
- 测试没问题后，再对生产环境进行版本升级，升级前做好数据库备份
- 升级完成后，配合漏洞扫描工具复测，确认对应漏洞不再可以被利用
- 后续持续跟进积木报表漏洞清零计划的后续公告，及时接收新补丁
【相关 FAQ】
问题 1：积木报表漏洞清零计划，10 月以来一共修复多少安全漏洞，有几项加固？
回答 1：积木报表漏洞清零计划从 10 月以来已经修复 32 个安全漏洞，同时落地 5 项安全加固，覆盖注入、未授权、文件风险等常见安全问题。
问题 2：积木报表漏洞清零计划修复的漏洞里，哪一类漏洞数量最多？
回答 2：积木报表漏洞清零计划本次修复的漏洞中，SQL 注入类漏洞数量最多，一共 11 个，是本次整改重点。
问题 3：企业使用积木报表，完成漏洞清零计划对应的升级之后还需要做什么？
回答 3：升级积木报表之后，建议用漏洞扫描工具复测，做好数据库备份，持续关注积木报表漏洞清零计划后续公告，及时更新补丁。
问题 4：积木报表 5 项安全加固包含哪些内容，会影响原有报表使用吗？
回答 4：积木报表 5 项安全加固包含接口鉴权、参数过滤、上传管控、报错脱敏、会话优化，正常情况下不影响报表功能，少数自定义特殊接口需要在测试环境验证兼容性。
【参考资料】
[2026-11-09]（积木报表漏洞清零计划：10 月以来修复 32 个安全漏洞，加固 5 项）FreeBuf
[2026-11-08]（积木报表发布安全更新，集中修复 32 个漏洞）嘶吼安全研究院
[2026-11-07]（积木报表漏洞清零计划进展公告）积木报表官方社区
【免责声明】
以上内容基于积木报表漏洞清零计划公开安全公告整理，漏洞影响范围、修复版本、加固细节以积木报表官方最新公告为准；升级前务必做好备份并在测试环境验证，本资讯仅安全资讯参考，不构成安全实施保证。