CVE-2026-64618

W Apache Fineract w wersjach 0.4.0-incubating, 0.5.0-incubating i 0.6.0-incubating, uwierzytelniony użytkownik z odpowiednimi uprawnieniami może wstrzykiwać złośliwe zapytania SQL do zapytań SELECT. Parametr 'sqlSearch' na kilku punktach końcowych nie jest odpowiednio oczyszczany i jest bezpośrednio dodawany do zapytania.

Podatność niedostatecznie chronionych poświadczeń w Apache Fineract. Problem dotyczy wersji do 1.11.0. Poprawka jest dostępna w wersji 1.12.1, a zalecana jest aktualizacja do wersji 1.13.0.

Luka dotyczy Apache Fineract w wersjach do 1.15.0 włącznie. Endpoint odczytu Center (GET /api/v1/centers) oraz endpointy odczytu wpisów datatable (GET /api/v1/datatables/{datatable}/{apptableId} i GET /api/v1/datatables/{datatable}/{apptableId}/{datatableId}) konkatenują parametry sortowania dostarczone przez wywołującego (orderBy, sortOrder, order) bezpośrednio do klauzuli SQL ORDER BY.

W Apache Fineract do wersji 1.14.0 włącznie, w interfejsie API wyszukiwania biur (GET /api/v1/offices) występuje podatność na wstrzykiwanie SQL. Parametr orderBy jest konkatenowany do zapytania SQL bez wystarczającej walidacji, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do przeglądania biur na wstrzyknięcie dowolnego kodu SQL. Jest to obejście poprawki ColumnValidator dla CVE-2024-32838, która nie wykrywa gołych podzapytań w klauzuli ORDER BY.

Podatność typu SQL Injection (boolean-based) w Apache Fineract w API wyszukiwania klientów (GET /api/v1/clients) do wersji 1.14.0 włącznie. Parametry orderBy i sortOrder są łączone z zapytaniem SQL bez wystarczającej walidacji, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do przeglądania klientów na wstrzyknięcie dowolnego kodu SQL poprzez spreparowaną wartość orderBy.

Podatność SQL Injection w Apache Fineract w punkcie końcowym runreports (API raportów) w wersjach do 1.14.0 włącznie. Wartości parametrów raportu są wstawiane do zapytania SQL bez odpowiedniej walidacji, co umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami do uruchamiania raportów wstrzyknięcie dowolnego kodu SQL.

Podatność typu Authorization Bypass Through User-Controlled Key w Apache Fineract pozwala na obejście autoryzacji poprzez manipulację kluczem kontrolowanym przez użytkownika. Problem dotyczy wersji do 1.11.0 włącznie i został naprawiony w wersji 1.12.1.

Apache Fineract do wersji 1.10.1 zawiera podatność związaną ze słabymi wymaganiami dotyczącymi haseł. Problem został naprawiony w wersji 1.11.0, a użytkownikom zaleca się aktualizację do najnowszej wersji 1.13.0.