CVE-2026-65874 in Fineract
要約
〜によって VulDB • 2026年10月30日
本問題は、Apache Fineractのバージョン1.15.0およびそれ以前のバージョンに影響します。Center用読み取りエンドポイント（GET /api/v1/centers）およびdatatableエントリ用読み取りエンドポイント（GET /api/v1/datatables/{datatable}/{apptableId} および GET /api/v1/datatables/{datatable}/{apptableId}/{datatableId}）は、呼び出し元が指定した順序付けパラメータ（orderBy, sortOrder, order）をSQLのORDER BY句に直接連結します。既存の正規表現ベースの入力検証は回避可能であり、認証済みでcentersまたは対象となる datatableへの読み取りアクセス権を持つ任意のユーザーによる時間依存型盲SQLインジェクションが可能になります。
本問題を修正する1.16.1へのアップグレードを推奨します。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.