CVE-2026-65874
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Luka dotyczy Apache Fineract w wersjach do 1.15.0 włącznie. Endpoint odczytu Center (GET /api/v1/centers) oraz endpointy odczytu wpisów datatable (GET /api/v1/datatables/{datatable}/{apptableId} i GET /api/v1/datatables/{datatable}/{apptableId}/{datatableId}) konkatenują parametry sortowania dostarczone przez wywołującego (orderBy, sortOrder, order) bezpośrednio do klauzuli SQL ORDER BY.
Ocena ryzyka
Istniejąca walidacja wejścia oparta na wyrażeniach regularnych może zostać obejścia, umożliwiając atak typu time-based blind SQL injection przez dowolnego uwierzytelnionego użytkownika z dostępem do odczytu centers lub docelowej datatable. Może to prowadzić do wycieku danych lub ich modyfikacji.
Rekomendacja
Zaktualizuj Apache Fineract do wersji 1.16.1, która naprawia tę lukę. Do czasu wdrożenia ogranicz dostęp do endpointów centers i datatables oraz monitoruj podejrzane zapytania.
Inne podatności w Apache Fineract
Zobacz wszystkie- CVE-2017-5663Wysokie
W Apache Fineract w wersjach 0.4.0-incubating, 0.5.0-incubating i 0.6.0-incubating, uwierzytelniony użytkownik z odpowiednimi uprawnieniami może wstrzykiwać złośliwe zapytania SQL do zapytań SELECT. Parametr 'sqlSearch' na kilku punktach końcowych nie jest odpowiednio oczyszczany i jest bezpośrednio dodawany do zapytania.
- CVE-2026-64618Krytyczne
W Apache Fineract (do wersji 1.15.0) występuje podatność SQL Injection w parametrze outStandingAmountPercentageCondition endpointu /fineract-provider/api/v1/search/advance. Nieprawidłowa neutralizacja danych wejściowych pozwala na wstrzyknięcie kodu SQL.
- CVE-2025-58130Krytyczne
Podatność niedostatecznie chronionych poświadczeń w Apache Fineract. Problem dotyczy wersji do 1.11.0. Poprawka jest dostępna w wersji 1.12.1, a zalecana jest aktualizacja do wersji 1.13.0.
- CVE-2026-57821Wysokie
W Apache Fineract do wersji 1.14.0 włącznie, w interfejsie API wyszukiwania biur (GET /api/v1/offices) występuje podatność na wstrzykiwanie SQL. Parametr orderBy jest konkatenowany do zapytania SQL bez wystarczającej walidacji, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do przeglądania biur na wstrzyknięcie dowolnego kodu SQL. Jest to obejście poprawki ColumnValidator dla CVE-2024-32838, która nie wykrywa gołych podzapytań w klauzuli ORDER BY.
- CVE-2026-56287Wysokie
Podatność typu SQL Injection (boolean-based) w Apache Fineract w API wyszukiwania klientów (GET /api/v1/clients) do wersji 1.14.0 włącznie. Parametry orderBy i sortOrder są łączone z zapytaniem SQL bez wystarczającej walidacji, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do przeglądania klientów na wstrzyknięcie dowolnego kodu SQL poprzez spreparowaną wartość orderBy.
- CVE-2026-35152Wysokie
Podatność SQL Injection w Apache Fineract w punkcie końcowym runreports (API raportów) w wersjach do 1.14.0 włącznie. Wartości parametrów raportu są wstawiane do zapytania SQL bez odpowiedniej walidacji, co umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami do uruchamiania raportów wstrzyknięcie dowolnego kodu SQL.
- CVE-2025-58137Wysokie
Podatność typu Authorization Bypass Through User-Controlled Key w Apache Fineract pozwala na obejście autoryzacji poprzez manipulację kluczem kontrolowanym przez użytkownika. Problem dotyczy wersji do 1.11.0 włącznie i został naprawiony w wersji 1.12.1.
- CVE-2025-23408Średnie
Apache Fineract do wersji 1.10.1 zawiera podatność związaną ze słabymi wymaganiami dotyczącymi haseł. Problem został naprawiony w wersji 1.11.0, a użytkownikom zaleca się aktualizację do najnowszej wersji 1.13.0.
Oryginalny opis (angielski, źródło NVD)
This issue affects Apache Fineract versions up to and including 1.15.0. The Center read endpoint (GET /api/v1/centers) and the datatable entry read endpoints (GET /api/v1/datatables/{datatable}/{apptableId} and GET /api/v1/datatables/{datatable}/{apptableId}/{datatableId}) concatenate caller-supplied ordering parameters (orderBy, sortOrder, order) directly into the SQL ORDER BY clause. The existing regex-based input validation can be bypassed, allowing time-based blind SQL injection by any authenticated user with read access to centers or to the targeted datatable. Users are recommended to upgrade to 1.16.1 which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS