Injeção de SQL no Apache Fineract via parâmetros ORDER BY (CVE-2026-65874)

O que aconteceu e o que fazer

O aviso, publicado na lista oss-sec em 29 de outubro de 2026, classifica como importante uma injeção de SQL que afeta o Apache Fineract até a versão 1.15.0 inclusive. O problema está no endpoint de leitura de centros (GET /api/v1/centers) e nos endpoints de leitura de entradas de datatables, que concatenam diretamente os parâmetros de ordenação orderBy, sortOrder e order enviados pelo chamador.

Para uma empresa que usa o Fineract, a resposta prática começa por um inventário: identificar instâncias e versões e verificar quais integrações chamam esses endpoints. Parâmetros de ordenação não devem ser tratados como texto livre. A correção estrutural é validar cada campo contra uma lista fixa de colunas permitidas, mapear a direção para ASC ou DESC e usar consultas parametrizadas para os demais valores. Em paralelo, vale registrar e alertar sobre requisições com caracteres típicos de SQL nesses parâmetros, sem tratar isso como substituto da correção. Testes de regressão em homologação garantem que a ordenação legítima continua funcionando.

Como a consultoria pode ajudar

Diagnóstico da exposição: inventário de instâncias do Apache Fineract e das integrações que usam os endpoints afetados, com priorização por exposição. Implementação de validação de parâmetros de ordenação por allowlist, testes de regressão e monitoramento de requisições suspeitas, com operação acompanhada.

Próximo passo

Se sua empresa usa o Apache Fineract, envie uma breve descrição do seu ambiente e das integrações, e receba uma proposta com escopo definido para diagnóstico e correção.