PT-2026-58893 · Apache · Apache Fineract

Ádám Sághy + 4 · Publicado 2026-07-15 · Atualizado 2026-07-15 · CVE-2026-35152

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Apache Fineract versões anteriores a 1.14.1

Descrição Existe um problema na API de Execução de Relatórios no endpoint 'runreports', onde os valores dos parâmetros do relatório são incorporados na consulta SQL gerada sem a validação suficiente. Isso permite que um usuário autenticado com permissões de execução de relatórios injete SQL arbitrário por meio de valores de parâmetros manipulados, podendo levar ao acesso não autorizado a dados além do escopo pretendido do relatório.

Recomendações Atualize para uma versão que contenha a correção. Restrinja o uso do endpoint 'runreports' para usuários com permissões excessivas até que a atualização seja aplicada.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2026-35152

Produtos afetados

Apache Fineract

Referências · 6

• https://github.com/apache/fineract/pull/5980 · Correção
• https://twitter.com/CVEnew/status/2077362445161517417 · Publicação no Twitter
• https://lists.apache.org/thread/658yddn0bpxqw2hpxnyk3vqd05bkchg9 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2026/07/15/1 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-35152 · Nota de Segurança
• https://lists.apache.org/thread/d3bzcwsbywz7wg9zxvtlkvgmffqjyfn0 · Aviso do Fabricante