CVE-2026-65874

Nome do Software Vulnerável e Versões Afetadas Apache Fineract versões anteriores a 1.16.1

Descrição Usuários autenticados com acesso de leitura a centros ou tabelas de dados específicas podem realizar injeção de SQL cega baseada em tempo. Isso ocorre porque a aplicação concatena parâmetros de ordenação fornecidos pelo usuário diretamente na cláusula SQL ORDER BY, ignorando a validação de entrada baseada em regex existente. Os endpoints de API afetados são '/api/v1/centers', '/api/v1/datatables/{datatable}/{apptableId}' e '/api/v1/datatables/{datatable}/{apptableId}/{datatableId}'. Os parâmetros vulneráveis são orderBy, sortOrder e order.

Recomendações Atualizar para a versão 1.16.1.