Apache Fineract <=1.15.0 SQL注入漏洞修复

CVE-2026-65874: Apache Fineract: SQL injection via ORDER BY parameters in the Center and datatables endpoints

推荐理由

Fineract 开发者必读：存在可利用的 SQL 注入漏洞，请立即升级受影响版本以修复安全后门。

Posted by Terence Monteiro on Oct 29

Terence Monteiro 发布于 10 月 29 日

Severity: important

严重程度：重要

Affected versions:

受影响版本：

Description:

描述：

This issue affects Apache Fineract versions up to and including 1.15.0. The Center read endpoint (GET /api/v1/centers)

此问题影响 Apache Fineract 最高至且包括 1.15.0 的版本。中心读取端点（GET /api/v1/centers）

and the datatable entry read endpoints (GET /api/v1/datatables/{datatable}/{apptableId} and GET

以及数据表条目读取端点（GET /api/v1/datatables/{datatable}/{apptableId} 和 GET

/api/v1/datatables/{datatable}/{apptableId}/{datatableId}) concatenate caller-supplied ordering parameters (orderBy,

/api/v1/datatables/{datatable}/{apptableId}/{datatableId}）会拼接调用方提供的排序参数（orderBy、

sortOrder, order)...

sortOrder、order）...

看懂新闻只是起点——沿量化金融路径，把它变成能交付的工程能力