CVE-2026-57821
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 52 - wyżej niż 52% wszystkich znanych CVE
Streszczenie
W Apache Fineract do wersji 1.14.0 włącznie, w interfejsie API wyszukiwania biur (GET /api/v1/offices) występuje podatność na wstrzykiwanie SQL. Parametr orderBy jest konkatenowany do zapytania SQL bez wystarczającej walidacji, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do przeglądania biur na wstrzyknięcie dowolnego kodu SQL. Jest to obejście poprawki ColumnValidator dla CVE-2024-32838, która nie wykrywa gołych podzapytań w klauzuli ORDER BY.
Ocena ryzyka
Podatność umożliwia czasowe ślepe wstrzykiwanie SQL w celu kradzieży danych. Ponieważ wstrzyknięte zapytanie blokuje połączenie z bazą danych na cały czas jego trwania, równoczesna eksploatacja może wyczerpać pulę połączeń aplikacji, prowadząc do odmowy usługi dla innych użytkowników.
Rekomendacja
Należy niezwłocznie zaktualizować Apache Fineract do wersji zawierającej poprawkę. Do czasu aktualizacji należy ograniczyć dostęp do API wyszukiwania biur tylko dla zaufanych użytkowników i monitorować nietypowe zapytania SQL.
Inne podatności w Apache Fineract
Zobacz wszystkie- CVE-2017-5663Wysokie
W Apache Fineract w wersjach 0.4.0-incubating, 0.5.0-incubating i 0.6.0-incubating, uwierzytelniony użytkownik z odpowiednimi uprawnieniami może wstrzykiwać złośliwe zapytania SQL do zapytań SELECT. Parametr 'sqlSearch' na kilku punktach końcowych nie jest odpowiednio oczyszczany i jest bezpośrednio dodawany do zapytania.
- CVE-2025-58130Krytyczne
Podatność niedostatecznie chronionych poświadczeń w Apache Fineract. Problem dotyczy wersji do 1.11.0. Poprawka jest dostępna w wersji 1.12.1, a zalecana jest aktualizacja do wersji 1.13.0.
- CVE-2026-56287Wysokie
Podatność typu SQL Injection (boolean-based) w Apache Fineract w API wyszukiwania klientów (GET /api/v1/clients) do wersji 1.14.0 włącznie. Parametry orderBy i sortOrder są łączone z zapytaniem SQL bez wystarczającej walidacji, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do przeglądania klientów na wstrzyknięcie dowolnego kodu SQL poprzez spreparowaną wartość orderBy.
- CVE-2026-35152Wysokie
Podatność SQL Injection w Apache Fineract w punkcie końcowym runreports (API raportów) w wersjach do 1.14.0 włącznie. Wartości parametrów raportu są wstawiane do zapytania SQL bez odpowiedniej walidacji, co umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami do uruchamiania raportów wstrzyknięcie dowolnego kodu SQL.
Oryginalny opis (angielski, źródło NVD)
A SQL Injection vulnerability exists in Apache Fineract's Office Search API (GET /api/v1/offices) in versions up to and including 1.14.0. The orderBy request parameter is concatenated into a SQL query without sufficient validation, allowing an authenticated user with permission to view offices to inject arbitrary SQL via a crafted orderBy value. This is a bypass of the ColumnValidator fix introduced for CVE-2024-32838, which does not detect bare subqueries in the ORDER BY position. This can be leveraged to perform time-based blind SQL injection for data exfiltration. Because the injected query blocks the database connection for its full duration, concurrent exploitation can exhaust the application's database connection pool, resulting in denial of service for other users. Users are recommended to upgrade to a version containing the fix.