🛡️ CVE-2026-57821 – Inyección SQL en Apache Fineract

⚠️ AVISO LEGAL Y ÉTICO
Este toolkit se proporciona estrictamente para fines educativos, de formación y de pruebas de seguridad autorizadas.
El uso no autorizado contra cualquier sistema sin permiso escrito explícito es ilegal y viola las leyes de delitos informáticos.
El autor no asume ninguna responsabilidad por el mal uso o los daños.
Usted es el único responsable de sus acciones.

📋 Resumen de la Vulnerabilidad

CVE-2026-57821 es una vulnerabilidad de inyección SQL descubierta en el endpoint de listado de oficinas de Apache Fineract.

🎯 Componente Afectado

🧠 Cómo Funciona

La vulnerabilidad existe porque el parámetro orderBy se incrusta directamente en las consultas SQL sin una sanitización adecuada. Un atacante con credenciales válidas puede inyectar subconsultas envueltas en paréntesis () en el parámetro orderBy.

Por qué esto evade los parches anteriores:

• CVE-2024-32838 introdujo un ColumnValidator para sanitizar las cláusulas ORDER BY
• El validador no detecta subconsultas simples dentro de paréntesis
• Esto permite la ejecución arbitraria de SQL dentro del contexto ORDER BY

Ejemplo de Vector de Ataque:

GET /api/v1/offices?orderBy=(SELECT CASE WHEN (1=1) THEN pg_sleep(5) ELSE pg_sleep(0) END)&limit=1

⚡ Impacto Potencial

👤 Descubrimiento y Divulgación

🗄️ Sistemas de Base de Datos Compatibles

Este toolkit detecta automáticamente y adapta las técnicas de explotación para 11 motores de base de datos diferentes:

🛠️ Componentes del Toolkit

Este proyecto proporciona dos scripts de Python para diferentes escenarios de evaluación de seguridad:

📊 verifier.py – Herramienta de Verificación Segura y Mínima

Propósito: Demostrar rápidamente la existencia de la vulnerabilidad sin extraer datos.

Qué hace:

• Envía payloads de prueba específicos para cada base de datos
• Detecta retardos de tiempo o mensajes de error
• Reporta VULNERABLE o NOT VULNERABLE para cada tipo de base de datos
• NO exfiltra ningún dato

✅ Ventajas:

• Extremadamente rápido (se completa en segundos)
• Bajo riesgo legal (solo valida la presencia)
• Ideal para el escaneo inicial de seguridad
• Salida apta para informes y cumplimiento

📋 Caso de uso: Evaluación inicial para determinar si el objetivo es vulnerable.

🔬 exploit.py – Analizador de Seguridad Integral

Propósito: Explotar completamente la vulnerabilidad para extraer información de la base de datos.

Qué hace:

• Detecta automáticamente el tipo de base de datos
• Usa búsqueda binaria para extraer carácter por carácter
• Recupera: versión, usuario actual, nombre de la base de datos, lista de tablas (configurable)
• MSSQL: extracción basada en errores
• Otros: extracción basada en tiempo con calibración de línea base

✅ Ventajas:

• Proporciona evidencia concreta del impacto
• Demuestra el alcance total de la vulnerabilidad
• Registro detallado con salida codificada por colores

📋 Caso de uso: Análisis de seguridad en profundidad tras la confirmación de la vulnerabilidad.

🔍 Diferencia clave: verifierPoC.py te dice si es vulnerable; exploit.py te muestra qué se puede extraer. Ambos cumplen funciones distintas pero complementarias en un flujo de trabajo de evaluación de seguridad.

⚙️ Instalación y Configuración

Requisitos previos

• Python 3.6+
• Biblioteca requests

pip install requests

⚙️ Variables de Configuración

Edite las siguientes variables al comienzo de ambos scripts:

🚀 Guía de Uso

1️⃣ exploit.py - Escaneo Profundo

python3 exploit.py

Salida Esperada:

CVE-2026-57821 - Apache Fineract Vulnerability Verifier
══════════════════════════════════════════════════════════════════════════════════════
@tc4dy is here :) Good Luck!

CONNECTION SUCCESS
BASELINE: 0.234s
STARTING VULNERABILITY VERIFICATION
VERIFICATION RESULTS
PostgreSQL: VULNERABLE
MySQL: NOT VULNERABLE
MariaDB: NOT VULNERABLE
Oracle: NOT VULNERABLE
MSSQL: NOT VULNERABLE
CONCLUSION: TARGET IS VULNERABLE (CVE-2026-57821 CONFIRMED)

Interpretation: If VULNERABLE appears for any database type, the target is affected.

🎯 Especificaciones Técnicas

CVSS Score Metric Value CVSS v3.1 Base Score 8.1 (Alta) Vector CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H Attack Vector Red Privileges Required Bajo User Interaction Ninguna

EPSS Score

0.29% (probabilidad de explotación en 30 días)

CWE Mapping

CWE‑89: Neutralización incorrecta de elementos especiales utilizados en un comando SQL ('Inyección SQL')

🧪 Inmersión Técnica Profunda

Por Qué Funciona el Payload

El código vulnerable en Apache Fineract 1.14.0:

// Simplified vulnerable logic
String orderBy = request.getParameter("orderBy");
if (ColumnValidator.isValid(orderBy)) {
    // VALIDATOR FAILS FOR: "(SELECT ...)"
    // Only checks against simple column names
    String sql = "SELECT * FROM offices ORDER BY " + orderBy;
    // Executes query with user input directly
}

Ejemplo de Payload del Atacante:

GET /api/v1/offices?orderBy=(SELECT CASE WHEN (1=1) THEN pg_sleep(5) ELSE pg_sleep(0) END)&limit=1

SQL Resultante:

SELECT * FROM offices ORDER BY (SELECT CASE WHEN (1=1) THEN pg_sleep(5) ELSE pg_sleep(0) END)

El ColumnValidator comprueba los nombres de columna, pero no detecta la subconsulta anidada, lo que permite la ejecución arbitraria de SQL.

🛡️ Mitigación