CVE-2026-65874 in Fineract
Sumário
de VulDB • 30/10/2026
Este problema afeta as versões do Apache Fineract até a 1.15.0, inclusive. O endpoint de leitura de centros (GET /api/v1/centers) e os endpoints de leitura de entradas da datatable (GET /api/v1/datatables/{datatable}/{apptableId} e GET /api/v1/datatables/{datatable}/{apptableId}/{datatableId}) concatenam parâmetros de ordenação fornecidos pelo usuário (orderBy, sortOrder, order) diretamente na cláusula SQL ORDER BY. A validação de entrada existente baseada em regex pode ser contornada, permitindo injeção cega de SQL por tempo (time-based blind SQL injection) por qualquer usuário autenticado com acesso de leitura aos centros ou à datatable alvo.
Recomenda-se que os usuários atualizem para a versão 1.16.1, que corrige o problema.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.