CVE-2026-64618: SQL Injection nel motore di ricerca Fineract

Una vulnerabilità SQL injection è stata scoperta in Apache Fineract fino alla versione 1.15.0. L'API /fineract-provider/api/v1/search/advance è vulnerabile a causa di una neutralizzazione insufficiente dell'input nel parametro outStandingAmountPercentageCondition di CVE-2026-64618. Questa falla consente a un attaccante di eseguire query SQL arbitrarie, esponendo o modificando dati sensibili nei sistemi finanziari e di microfinance che dipendono da Fineract.

Il punteggio CVSS è 9,8, classificato critico. La vulnerabilità è stata divulgata il 30 ottobre 2026 ed è già oggetto di discussione nella comunità di cybersecurity. Apache ha rilasciato la versione 1.16.1 come correzione ufficiale. I segnali sociali (non verificati dal punto di vista tecnico) indicano una crescente consapevolezza della minaccia, anche se lo sfruttamento attivo in natura non è ancora confermato da fonti ufficiali.

Gli amministratori devono verificare immediatamente quali versioni di Fineract sono in produzione. Se è in uso la versione 1.15.0 o precedenti, l'upgrade a 1.16.1 deve essere pianificato con massima priorità in coordinamento con il team di sviluppo e gestione del rilascio. In parallelo, monitorate gli accessi all'endpoint di ricerca per individuare query sospette e controllate i log delle operazioni di database per modifiche non autorizzate, accessi anomali e pattern di lettura insoliti dai relativi parametri.