PT-2026-58896 · Apache · Apache Fineract
Ádám Sághy
+1
·
Publicado
2026-07-15
·
Atualizado
2026-07-15
·
CVE-2026-57821
CVSS v3.1
8.1
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H |
Nome do Software Vulnerável e Versões Afetadas
Apache Fineract versões anteriores a 1.14.1
Descrição
Um usuário autenticado com permissões para visualizar escritórios pode realizar uma injeção de SQL cega baseada em tempo através do endpoint 'Office Search API' '/api/v1/offices'. O problema ocorre porque o parâmetro de requisição
orderBy é concatenado em uma consulta SQL sem a validação suficiente, ignorando o ColumnValidator. Isso permite a injeção de SQL arbitrário, que pode ser utilizado para a exfiltração de dados. Além disso, como as consultas injetadas bloqueiam as conexões com o banco de dados, a exploração simultânea pode esgotar o pool de conexões do banco de dados, resultando em negação de serviço.Recomendações
Atualize para uma versão que contenha a correção.
Como medida de mitigação temporária, restrinja o uso do parâmetro
orderBy no endpoint '/api/v1/offices'.Correção
SQL injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Apache Fineract