PT-2025-6469 · Apache · Apache Fineract

Aleksandar Vidakovic + 1 · Publicado 2025-02-12 · Atualizado 2025-02-24 · CVE-2024-32838

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.4

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas Apache Fineract versões 1.9 e anteriores

Descrição Existe uma vulnerabilidade de injeção de SQL em vários endpoints de API, incluindo offices e dashboards, que permite a um atacante autenticado injetar dados maliciosos em alguns dos parâmetros de consulta dos endpoints de API REST. Este problema foi resolvido na versão 1.10.1, que inclui um Validador de SQL para configurar testes e verificações em consultas SQL, protegendo contra potenciais ataques de injeção de SQL.

Recomendações Para as versões 1.9 e anteriores do Apache Fineract, atualize para a versão 1.10.1 para corrigir a vulnerabilidade de injeção de SQL. Como solução temporária, considere restringir o acesso aos endpoints de API vulneráveis até que o problema seja resolvido.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

BDU:2025-03827

CVE-2024-32838

Produtos afetados

Apache Fineract

Referências · 16

• https://twitter.com/the_yellow_fall/status/1890224847063798101 · Publicação no Twitter
• https://twitter.com/oss_security/status/1889697262139265051 · Publicação no Twitter
• https://twitter.com/TheSecMaster1/status/1893908321473597898 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2025-03827 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2024-32838 · Nota de Segurança
• https://lists.apache.org/thread/7l88h17pn9nf8zpx5bbojk7ko5oxo1dy · Aviso do Fabricante
• https://twitter.com/pravin_karthik/status/1890396659516919886 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1889673486072676710 · Publicação no Twitter
• https://t.me/pentestingnews/56556 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-32838 · Aviso do Fabricante
• https://twitter.com/Brandefense/status/1891740649239769273 · Publicação no Twitter
• http://openwall.com/lists/oss-security/2025/02/12/1 · Nota
• https://twitter.com/fridaysecurity/status/1890224915967783295 · Publicação no Twitter
• https://twitter.com/Dinosn/status/1890229893809730025 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1889714034661789990 · Publicação no Twitter