CVE-2026-56287
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
Podatność typu SQL Injection (boolean-based) w Apache Fineract w API wyszukiwania klientów (GET /api/v1/clients) do wersji 1.14.0 włącznie. Parametry orderBy i sortOrder są łączone z zapytaniem SQL bez wystarczającej walidacji, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do przeglądania klientów na wstrzyknięcie dowolnego kodu SQL poprzez spreparowaną wartość orderBy.
Ocena ryzyka
Atakujący może przeprowadzić ślepe wydobywanie danych (blind boolean-based data extraction) oraz, w przypadku baz MySQL/MariaDB, ujawnić dowolne pliki odczytywalne przez proces bazy danych za pomocą funkcji LOAD_FILE(). Może to prowadzić do wycieku poufnych danych organizacji.
Rekomendacja
Należy niezwłocznie zaktualizować Apache Fineract do wersji zawierającej poprawkę. Do czasu aktualizacji zaleca się ograniczenie dostępu do API wyszukiwania klientów tylko dla zaufanych użytkowników oraz wdrożenie dodatkowej walidacji parametrów orderBy i sortOrder na poziomie proxy lub WAF.
Inne podatności w Apache Fineract
Zobacz wszystkie- CVE-2017-5663Wysokie
W Apache Fineract w wersjach 0.4.0-incubating, 0.5.0-incubating i 0.6.0-incubating, uwierzytelniony użytkownik z odpowiednimi uprawnieniami może wstrzykiwać złośliwe zapytania SQL do zapytań SELECT. Parametr 'sqlSearch' na kilku punktach końcowych nie jest odpowiednio oczyszczany i jest bezpośrednio dodawany do zapytania.
- CVE-2025-58130Krytyczne
Podatność niedostatecznie chronionych poświadczeń w Apache Fineract. Problem dotyczy wersji do 1.11.0. Poprawka jest dostępna w wersji 1.12.1, a zalecana jest aktualizacja do wersji 1.13.0.
- CVE-2026-57821Wysokie
W Apache Fineract do wersji 1.14.0 włącznie, w interfejsie API wyszukiwania biur (GET /api/v1/offices) występuje podatność na wstrzykiwanie SQL. Parametr orderBy jest konkatenowany do zapytania SQL bez wystarczającej walidacji, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do przeglądania biur na wstrzyknięcie dowolnego kodu SQL. Jest to obejście poprawki ColumnValidator dla CVE-2024-32838, która nie wykrywa gołych podzapytań w klauzuli ORDER BY.
- CVE-2026-35152Wysokie
Podatność SQL Injection w Apache Fineract w punkcie końcowym runreports (API raportów) w wersjach do 1.14.0 włącznie. Wartości parametrów raportu są wstawiane do zapytania SQL bez odpowiedniej walidacji, co umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami do uruchamiania raportów wstrzyknięcie dowolnego kodu SQL.
Oryginalny opis (angielski, źródło NVD)
A boolean-based SQL Injection vulnerability exists in Apache Fineract's Client Search API (GET /api/v1/clients) in versions up to and including 1.14.0. The orderBy and sortOrder request parameters are concatenated into a SQL query without sufficient validation, allowing an authenticated user with permission to view clients to inject arbitrary SQL via a crafted orderBy value. This can be leveraged to perform blind boolean-based data extraction and, on MySQL/MariaDB, to disclose arbitrary files readable by the database process via the LOAD_FILE() function. Users are recommended to upgrade to a version containing the fix