CVE-2026-65874 in Fineract
Riassunto
di VulDB • 30/10/2026
Questo problema interessa le versioni di Apache Fineract fino alla 1.15.0 inclusa. L'endpoint per la lettura dei centri (GET /api/v1/centers) e gli endpoint per la lettura delle voci della datatable (GET /api/v1/datatables/{datatable}/{apptableId} e GET /api/v1/datatables/{datatable}/{apptableId}/{datatableId}) concatenano direttamente i parametri di ordinamento forniti dall'utente (orderBy, sortOrder, order) nella clausola SQL ORDER BY. La convalida dell'input basata su regex esistente può essere aggirata, consentendo un'iniezione SQL cieca basata sui tempi a qualsiasi utente autenticato con accesso in lettura ai centri o alla datatable target.
Si consiglia agli utenti di eseguire l'aggiornamento alla versione 1.16.1 che risolve il problema.
If you want to get best quality of vulnerability data, you may have to visit VulDB.