Terence Monteiro

**Nome do Software Vulnerável e Versões Afetadas** Apache Fineract versões anteriores a 1.14.1 **Descrição** Existe um problema na API de Execução de Relatórios no endpoint 'runreports', onde os valores dos parâmetros do relatório são incorporados na consulta SQL gerada sem a validação suficiente. Isso permite que um usuário autenticado com permissões de execução de relatórios injete SQL arbitrário por meio de valores de parâmetros manipulados, podendo levar ao acesso não autorizado a dados além do escopo pretendido do relatório. **Recomendações** Atualize para uma versão que contenha a correção. Restrinja o uso do endpoint 'runreports' para usuários com permissões excessivas até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** Apache Fineract versões anteriores a 1.14.1 **Descrição** Um usuário autenticado com permissões para visualizar clientes pode explorar uma Injeção de SQL baseada em booleano no endpoint da API de Busca de Clientes '/api/v1/clients'. O problema ocorre porque os parâmetros `orderBy` e `sortOrder` são concatenados em uma consulta SQL sem a validação suficiente. Isso permite a extração de dados via blind boolean-based e, especificamente no MySQL ou MariaDB, a divulgação de arquivos arbitrários legíveis pelo processo do banco de dados através da função `LOAD FILE()`. **Recomendações** Atualize para uma versão que contenha a correção. Como medida de mitigação temporária, restrinja o uso dos parâmetros `orderBy` e `sortOrder` no endpoint '/api/v1/clients'.

**Nome do Software Vulnerável e Versões Afetadas** Apache Fineract versões anteriores a 1.14.1 **Descrição** Um usuário autenticado com permissões para visualizar escritórios pode realizar uma injeção de SQL cega baseada em tempo através do endpoint 'Office Search API' '/api/v1/offices'. O problema ocorre porque o parâmetro de requisição `orderBy` é concatenado em uma consulta SQL sem a validação suficiente, ignorando o ColumnValidator. Isso permite a injeção de SQL arbitrário, que pode ser utilizado para a exfiltração de dados. Além disso, como as consultas injetadas bloqueiam as conexões com o banco de dados, a exploração simultânea pode esgotar o pool de conexões do banco de dados, resultando em negação de serviço. **Recomendações** Atualize para uma versão que contenha a correção. Como medida de mitigação temporária, restrinja o uso do parâmetro `orderBy` no endpoint '/api/v1/offices'.