Sicherheitslücke in Apache Fineract: SQL Injection in Report Execution API (CVE-2026-35152)
In Apache Fineract, einer Software für Finanzdienstleistungen, wurde eine Sicherheitslücke entdeckt. Diese sogenannte SQL Injection betrifft die Report Execution API, genauer den 'runreports'-Endpunkt.
Was ist passiert?
In Apache Fineract, einer Software für Finanzdienstleistungen, wurde eine Sicherheitslücke entdeckt. Diese sogenannte SQL Injection betrifft die Report Execution API, genauer den 'runreports'-Endpunkt. Dabei werden Parameterwerte von Berichten ohne ausreichende Prüfung direkt in Datenbankabfragen übernommen.
Wer ist betroffen?
Betroffen sind alle Installationen von Apache Fineract bis einschliesslich Version 1.14.0. Ein authentifizierter Nutzer, also jemand mit gültigen Zugangsdaten und der Berechtigung zum Ausführen von Berichten, kann diese Schwachstelle ausnutzen. Dadurch ist unautorisierter Zugriff auf Daten möglich, die über den eigentlichen Berichtsumfang hinausgehen.
Wie kritisch ist es?
Die Kritikalität dieser Schwachstelle wird mit einem CVSS-Score von 8.8 als 'HIGH' eingestuft, was auf ein hohes Risiko hinweist. Die Wahrscheinlichkeit einer Ausnutzung innerhalb der nächsten 30 Tage (EPSS) liegt jedoch bei vergleichsweise niedrigen 3 %. Derzeit ist die Schwachstelle nicht in der CISA KEV-Liste der aktiv ausgenutzten Schwachstellen aufgeführt, was bedeutet, dass dazu derzeit keine gesicherten Angaben vorliegen.
Was ist jetzt zu tun?
Es wird dringend empfohlen, Apache Fineract auf eine Version zu aktualisieren, die den Fehler behebt. Prüfen Sie umgehend, welche Version Ihrer Software im Einsatz ist. Planen Sie das Update zeitnah ein, um das Risiko einer Ausnutzung zu minimieren.
Quellen: NVD (CVE-2026-35152), CISA KEV, FIRST EPSS. Automatisch erstellt, redaktionell geprüft.