CVE-2026-56287

Nome do Software Vulnerável e Versões Afetadas Apache Fineract versões anteriores a 1.14.1

Descrição Um usuário autenticado com permissões para visualizar clientes pode explorar uma Injeção de SQL baseada em booleano no endpoint da API de Busca de Clientes '/api/v1/clients'. O problema ocorre porque os parâmetros orderBy e sortOrder são concatenados em uma consulta SQL sem a validação suficiente. Isso permite a extração de dados via blind boolean-based e, especificamente no MySQL ou MariaDB, a divulgação de arquivos arbitrários legíveis pelo processo do banco de dados através da função LOAD FILE().

Recomendações Atualize para uma versão que contenha a correção. Como medida de mitigação temporária, restrinja o uso dos parâmetros orderBy e sortOrder no endpoint '/api/v1/clients'.