Ádám Sághy

Existe um problema na API de Execução de Relatórios no endpoint 'runreports', onde os valores dos parâmetros do relatório são incorporados na consulta SQL gerada sem a validação suficiente. Isso permite que um usuário autenticado com permissões de execução de relatórios injete SQL arbitrário por meio de valores de parâmetros manipulados, podendo levar ao acesso não autorizado a dados além do escopo pretendido do relatório.

Um usuário autenticado com permissões para visualizar clientes pode explorar uma Injeção de SQL baseada em booleano no endpoint da API de Busca de Clientes '/api/v1/clients'. O problema ocorre porque os parâmetros `orderBy` e `sortOrder` são concatenados em uma consulta SQL sem a validação suficiente. Isso permite a extração de dados via blind boolean-based e, especificamente no MySQL ou MariaDB, a divulgação de arquivos arbitrários legíveis pelo processo do banco de dados através da função `LOAD FILE()`.

Um usuário autenticado com permissões para visualizar escritórios pode realizar uma injeção de SQL cega baseada em tempo através do endpoint 'Office Search API' '/api/v1/offices'. O problema ocorre porque o parâmetro de requisição `orderBy` é concatenado em uma consulta SQL sem a validação suficiente, ignorando o ColumnValidator. Isso permite a injeção de SQL arbitrário, que pode ser utilizado para a exfiltração de dados. Além disso, como as consultas injetadas bloqueiam as conexões com o banco de dados, a exploração simultânea pode esgotar o pool de conexões do banco de dados, resultando em negação de serviço.

Existe uma falha no Apache Fineract relacionada a credenciais insuficientemente protegidas. Atualize para a versão 1.13.0, o lançamento mais recente, para corrigir este problema. O problema foi resolvido na versão 1.12.1.

Existe um bypass de autorização no Apache Fineract devido a um problema com uma chave controlada pelo usuário. Isso permite potencial acesso não autorizado. A vulnerabilidade foi corrigida na versão 1.12.1, e recomenda-se a atualização para a versão 1.13.0.