CVE-2025-58130
KrytyczneStreszczenie
Podatność niedostatecznie chronionych poświadczeń w Apache Fineract. Problem dotyczy wersji do 1.11.0. Poprawka jest dostępna w wersji 1.12.1, a zalecana jest aktualizacja do wersji 1.13.0.
Ocena ryzyka
Niedostatecznie chronione poświadczenia mogą umożliwić atakującemu ich przechwycenie i nieautoryzowany dostęp do systemu, co zagraża poufności danych.
Rekomendacja
Zaleca się aktualizację do wersji 1.13.0 lub przynajmniej 1.12.1, aby naprawić podatność.
Inne podatności w Apache Fineract
Zobacz wszystkie- CVE-2017-5663Wysokie
W Apache Fineract w wersjach 0.4.0-incubating, 0.5.0-incubating i 0.6.0-incubating, uwierzytelniony użytkownik z odpowiednimi uprawnieniami może wstrzykiwać złośliwe zapytania SQL do zapytań SELECT. Parametr 'sqlSearch' na kilku punktach końcowych nie jest odpowiednio oczyszczany i jest bezpośrednio dodawany do zapytania.
- CVE-2026-57821Wysokie
W Apache Fineract do wersji 1.14.0 włącznie, w interfejsie API wyszukiwania biur (GET /api/v1/offices) występuje podatność na wstrzykiwanie SQL. Parametr orderBy jest konkatenowany do zapytania SQL bez wystarczającej walidacji, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do przeglądania biur na wstrzyknięcie dowolnego kodu SQL. Jest to obejście poprawki ColumnValidator dla CVE-2024-32838, która nie wykrywa gołych podzapytań w klauzuli ORDER BY.
- CVE-2026-56287Wysokie
Podatność typu SQL Injection (boolean-based) w Apache Fineract w API wyszukiwania klientów (GET /api/v1/clients) do wersji 1.14.0 włącznie. Parametry orderBy i sortOrder są łączone z zapytaniem SQL bez wystarczającej walidacji, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do przeglądania klientów na wstrzyknięcie dowolnego kodu SQL poprzez spreparowaną wartość orderBy.
- CVE-2026-35152Wysokie
Podatność SQL Injection w Apache Fineract w punkcie końcowym runreports (API raportów) w wersjach do 1.14.0 włącznie. Wartości parametrów raportu są wstawiane do zapytania SQL bez odpowiedniej walidacji, co umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami do uruchamiania raportów wstrzyknięcie dowolnego kodu SQL.
Oryginalny opis (angielski, źródło NVD)
Insufficiently Protected Credentials vulnerability in Apache Fineract. This issue affects Apache Fineract: through 1.11.0. The issue is fixed in version 1.12.1. Users are encouraged to upgrade to version 1.13.0, the latest release.