【安全漏洞公告】Apache Fineract SQL注入漏洞（CNNVD-202303-2426 ）

一、漏洞简介

Apache Fineract是美国阿帕奇（Apache）基金会的一套开源数字金融服务平台。该平台能够为用户提供数据管理、贷款和储蓄投资组合管理以及实时财务数据等功能。

Apache Software Foundation Apache Fineract 1.4版本至1.8.3版本存在SQL注入漏洞，该漏洞源于系统使用的特殊元素不当中和。攻击者利用该漏洞可以更改或添加某些组件中的数据。

此外，Apache Fineract还修复了某些过程调用中的SQL注入漏洞（CVE-2023-25197，中危），授权用户可利用该漏洞执行某些恶意操作；以及Apache Fineract中的服务器端请求伪造漏洞；（CVE-2023-25195，中危），具有有限权限的授权用户可利用该漏洞获得对服务器的访问权限，并且可以将服务器用于任何出站流量。

二、影响范围

CVE-2023-25196、CVE-2023-25197

Apache Fineract版本：1.4 - 1.8.2

CVE-2023-25195

Apache Fineract版本：1.4 - 1.8.3

三、解决措施

目前官方已在最新版本中修复了该漏洞，请受影响的用户尽快升级版本进行防护，最新版本下载链接如下：

https://lists.apache.org/thread/v0q9x86sx6f6l2nzr1z0nwm3y9qlng04

四、参考链接å

https://lists.apache.org/thread/v0q9x86sx6f6l2nzr1z0nwm3y9qlng04

https://cxsecurity.com/cveshow/CVE-2023-25197/