CVE-2026-64618: injeção de SQL na API de pesquisa avançada do Apache Fineract

O que aconteceu e o que fazer

O aviso, publicado em 29 de outubro de 2026 na lista oss-sec e classificado com gravidade importante, trata de uma vulnerabilidade de injeção de SQL no Apache Fineract até a versão 1.15.0. O problema está no parâmetro outStandingAmountPercentageCondition do endpoint /fineract-provider/api/v1/search/advance. Segundo o texto, a validação insuficiente da entrada permite que comandos SQL sejam injetados por meio desse parâmetro.

Uma empresa que opera o Fineract deveria começar por um inventário das instâncias, com suas versões e os endpoints de pesquisa expostos à rede interna ou à internet. Em paralelo, é possível reduzir a superfície com regras de gateway ou WAF que limitem o parâmetro afetado, restringir o acesso ao endpoint a redes e perfis necessários e revisar a conta de banco usada pela aplicação, aplicando privilégio mínimo. Também vale monitorar logs de requisições com valores incomuns nesse parâmetro e, no médio prazo, planejar a atualização para uma versão corrigida assim que o fornecedor a publicar, testando a mudança em homologação antes da produção.

Como a consultoria pode ajudar

Diagnóstico da exposição do Fineract no seu ambiente: versões implantadas, endpoints de pesquisa acessíveis e permissões da conta de banco. Depois, implementamos contenção temporária, validação de entrada, monitoramento de requisições e um plano de atualização operado na sua infraestrutura.

Próximo passo

Envie uma descrição breve do seu cenário com o Fineract (versão, ambiente, onde a API de pesquisa é acessada e quem a utiliza). Com isso, preparamos uma proposta escopada de diagnóstico e correção para o seu caso.