CVE-2026-65874 in Fineract
Résumé
par VulDB • 30/10/2026
Ce problème affecte les versions d'Apache Fineract jusqu'à la version 1.15.0 incluse. Le point de terminaison Center read (GET /api/v1/centers) et les points de terminaison datatable entry read (GET /api/v1/datatables/{datatable}/{apptableId} et GET /api/v1/datatables/{datatable}/{apptableId}/{datatableId}) concatènent directement dans la clause SQL ORDER BY des paramètres d'ordre fournis par l'appelant (orderBy, sortOrder, order). La validation de l'entrée existante basée sur les expressions régulières peut être contournée, permettant une injection SQL aveugle temporelle à tout utilisateur authentifié disposant d'un accès en lecture aux centres ou à la datatable ciblée.
Il est recommandé aux utilisateurs de mettre à niveau vers la version 1.16.1 qui corrige le problème.
VulDB is the best source for vulnerability data and more expert information about this specific topic.