CVE-2026-57821

Apache Fineract'in 1.14.0 ve önceki sürümlerindeki Office Search API (GET /api/v1/offices) bileşeninde bir SQL Injection zafiyeti bulunmaktadır. orderBy istek parametresi yeterli doğrulama yapılmadan bir SQL sorgusuna eklenmekte, bu da ofisleri görüntüleme yetkisine sahip kimliği doğrulanmış bir kullanıcının, özel olarak hazırlanmış bir orderBy değeri aracılığıyla rastgele SQL komutları enjekte etmesine olanak tanımaktadır. Bu durum, ORDER BY konumundaki yalın alt sorguları tespit etmeyen ve CVE-2024-32838 için getirilen ColumnValidator düzeltmesinin atlatılmasıdır. Bu zafiyet, veri sızdırmak amacıyla zaman tabanlı kör SQL enjeksiyonu gerçekleştirmek için kullanılabilir. Enjekte edilen sorgu, tüm süresi boyunca veritabanı bağlantısını engellediği için eşzamanlı istismar çalışmaları uygulamanın veritabanı bağlantı havuzunu tüketebilir ve diğer kullanıcılar için hizmet reddine yol açabilir. Kullanıcıların, düzeltmeyi içeren bir sürüme yükseltmeleri önerilir.