🟠 CVE-2026-35152: High Luecke in Apache Fineract

„`html

Zusammenfassung

Eine SQL-Injection-Sicherheitslücke wurde in Apache Fineract identifiziert, die die Report Execution API betrifft. Die Schwachstelle (CVE-2026-35152) ermöglicht authentifizierten Benutzern mit entsprechenden Berechtigungen, willkürliche SQL-Befehle einzuschleusen. Dies kann zu unbefugtem Datenzugriff führen, der über die vorgesehenen Berichtsberechtigungen hinausgeht.

Betroffene Systeme

Produkt: Apache Fineract

Betroffene Versionen: Alle Versionen bis einschließlich 1.14.0

Komponente: Report Execution API (runreports Endpoint)

Angriffsvektor: Netzwerk (authentifiziert erforderlich)

Technische Details

Die Verwundbarkeit liegt in der unzureichenden Validierung von Berichtsparameterwerten im runreports Endpoint. Die Parametereingaben werden direkt in die generierte SQL-Abfrage inkorporiert, ohne dass eine sichere Parameterisierung oder Input-Validierung erfolgt.

Ein authentifizierter Angreifer mit Berechtigungen zur Berichtsausführung kann durch manipulierte Parameterwerte SQL-Injection-Payloads einschleusen. Dies ermöglicht:

• Extraktion sensitiver Datenbankinformationen
• Zugriff auf Datensätze außerhalb des Report-Scopes
• Potenzielle Datenbankmanipulation

Die Sicherheitslücke erfordert authentifizierten Zugriff, reduziert aber dennoch erheblich das Sicherheitsniveau für Benutzer mit Report-Ausführungsrechten.

Empfohlene Massnahmen

• Sofortmaßnahme: Upgrade auf eine gepatchte Version durchführen
• Interim-Schutz: Berechtigungen für Report-Ausführung überprüfen und restriktiv gestalten
• Monitoring: Logs der Report-API auf verdächtige Parameterwerte überwachen
• Validierung: Input-Validierungsregeln für Report-Parameter implementieren

Bewertung

CVSS Score: 8.8 (High)

Verfügbarkeit eines Patches: Ja

Die hohe Schweregradbewertung reflektiert das erhebliche Risiko für Datenkompromittierung. Ein unmittelbares Upgrade wird dringend empfohlen.

„`