PT-2026-58895
CVE-2026-56287
·
تاريخ النشر
2026-07-15
·
تاريخ التحديث
2026-08-31
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Apache Fineract الأقدم من 1.14.1
الوصف
يمكن للمستخدم المصادق عليه الذي يمتلك أذونات لعرض العملاء استغلال ثغرة حقن SQL قائمة على القيم المنطقية (boolean) في نقطة نهاية واجهة برمجة تطبيقات (API) البحث عن العملاء ’/api/v1/clients‘. تحدث هذه المشكلة لأن المعلمتين
orderBy وsortOrder يتم ربطهما في استعلام SQL دون إجراء التحقق الكافي من صحتهما. وهذا يسمح باستخراج البيانات بشكل أعمى باستخدام القيم المنطقية، وبشكل خاص في قواعد البيانات MySQL أو MariaDB، بالكشف عن ملفات عشوائية يمكن لعملية قاعدة البيانات قراءتها من خلال الدالة LOAD FILE().التوصيات
الترقية إلى إصدار يحتوي على الإصلاح.
كإجراء تخفيفي مؤقت، قم بتقييد استخدام المعلمتين
orderBy وsortOrder في نقطة النهاية ’/api/v1/clients‘.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾