PT-2026-58896
CVE-2026-57821
·
تاريخ النشر
2026-07-15
·
تاريخ التحديث
2026-08-31
الوصف من
CVSS 2.0
8.5
عاليةالمقاييسAV:N/AC:L/Au:S/C:C/I:N/A:C
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Apache Fineract الأقدم من 1.14.1
الوصف
يمكن للمستخدم المصادق عليه الذي يمتلك أذونات لعرض المكاتب تنفيذ حقن SQL أعمى قائم على الوقت عبر نقطة نهاية «Office Search API» «/api/v1/offices». تحدث هذه المشكلة لأن معلمة الطلب
orderBy يتم ربطها في استعلام SQL دون تحقق كافٍ، مما يتجاوز ColumnValidator. وهذا يسمح بحقن SQL تعسفي، والذي يمكن استخدامه لتسريب البيانات. بالإضافة إلى ذلك، ونظرًا لأن الاستعلامات المحقونة تحجب اتصالات قاعدة البيانات، فإن الاستغلال المتزامن قد يستنفد مجموعة اتصالات قاعدة البيانات، مما يؤدي إلى رفض الخدمة.التوصيات
الترقية إلى إصدار يحتوي على الإصلاح.
كإجراء تخفيفي مؤقت، قم بتقييد استخدام المعلمة
orderBy في نقطة النهاية ’/api/v1/offices‘.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾