Aleksandar Vidakovic

**Nome do Software Vulnerável e Versões Afetadas** Apache Fineract versões anteriores a 1.14.1 **Descrição** Existe um problema na API de Execução de Relatórios no endpoint 'runreports', onde os valores dos parâmetros do relatório são incorporados na consulta SQL gerada sem a validação suficiente. Isso permite que um usuário autenticado com permissões de execução de relatórios injete SQL arbitrário por meio de valores de parâmetros manipulados, podendo levar ao acesso não autorizado a dados além do escopo pretendido do relatório. **Recomendações** Atualize para uma versão que contenha a correção. Restrinja o uso do endpoint 'runreports' para usuários com permissões excessivas até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Apache Fineract até a 1.11.0 **Descrição** Existe um bypass de autorização no Apache Fineract devido a um problema com uma chave controlada pelo usuário. Isso permite potencial acesso não autorizado. A vulnerabilidade foi corrigida na versão 1.12.1, e recomenda-se a atualização para a versão 1.13.0. **Recomendações** Atualize para a versão 1.13.0 ou superior.

**Nome do Software Vulnerável e Versões Afetadas** Apache Fineract versões 1.9 e anteriores **Descrição** Existe uma vulnerabilidade de injeção de SQL em vários endpoints de API, incluindo offices e dashboards, que permite a um atacante autenticado injetar dados maliciosos em alguns dos parâmetros de consulta dos endpoints de API REST. Este problema foi resolvido na versão 1.10.1, que inclui um Validador de SQL para configurar testes e verificações em consultas SQL, protegendo contra potenciais ataques de injeção de SQL. **Recomendações** Para as versões 1.9 e anteriores do Apache Fineract, atualize para a versão 1.10.1 para corrigir a vulnerabilidade de injeção de SQL. Como solução temporária, considere restringir o acesso aos endpoints de API vulneráveis até que o problema seja resolvido.