🛡️ CVE-2026-57821 – Injection SQL Apache Fineract

⚠️ AVIS LÉGAL ET ÉTHIQUE
Ce kit est fourni strictement à des fins éducatives, de formation et de tests de sécurité autorisés.
Toute utilisation non autorisée contre un système sans autorisation écrite explicite est illégale et viole les lois relatives à la cybercriminalité.
L'auteur décline toute responsabilité en cas d'usage abusif ou de dommages.
Vous êtes seul responsable de vos actions.

📋 Présentation de la vulnérabilité

CVE-2026-57821 est une vulnérabilité de type Injection SQL découverte dans le point de terminaison de l'API de liste des bureaux d'Apache Fineract.

🎯 Composant affecté

🧠 Comment cela fonctionne

La vulnérabilité existe parce que le paramètre orderBy est directement intégré dans les requêtes SQL sans assainissement approprié. Un attaquant disposant d'identifiants valides peut injecter des sous-requêtes entourées de parenthèses () dans le paramètre orderBy.

Pourquoi cela contourne les correctifs précédents :

• CVE-2024-32838 a introduit un ColumnValidator pour assainir les clauses ORDER BY
• Le validateur ne détecte pas les sous-requêtes nues entre parenthèses
• Cela permet l'exécution arbitraire de SQL dans le contexte de ORDER BY

Exemple de vecteur d'attaque :

GET /api/v1/offices?orderBy=(SELECT CASE WHEN (1=1) THEN pg_sleep(5) ELSE pg_sleep(0) END)&limit=1

⚡ Impact potentiel

👤 Découverte & Divulgation

🗄️ Systèmes de bases de données pris en charge

Ce kit détecte et adapte automatiquement les techniques d'exploitation pour 11 moteurs de bases de données différents :

🛠️ Composants du kit

Ce projet fournit deux scripts Python pour différents scénarios d'évaluation de sécurité :

📊 verifier.py – Outil de vérification sûr et minimal

Objectif : Prouver rapidement l'existence de la vulnérabilité sans extraire de données.

Ce qu'il fait :

• Envoie des charges utiles de test spécifiques à la base de données
• Détecte les délais temporels ou les messages d'erreur
• Rapporte VULNERABLE ou NOT VULNERABLE pour chaque type de base de données
• N'exfiltre aucune donnée

✅ Avantages :

• Extrêmement rapide (s'achève en quelques secondes)
• Risque juridique faible (valide uniquement la présence)
• Idéal pour le scan de sécurité initial
• Sortie adaptée aux rapports de conformité

📋 Cas d'usage : Évaluation de premier passage pour déterminer si la cible est vulnérable.

🔬 exploit.py – Analyseur de sécurité complet

Objectif : Exercer pleinement la vulnérabilité pour extraire des informations de la base de données.

Ce qu'il fait :

• Détecte automatiquement le type de base de données
• Utilise la recherche binaire pour extraire caractère par caractère
• Récupère : version, utilisateur courant, nom de la base, liste des tables (configurable)
• MSSQL : extraction basée sur les erreurs
• Autres : extraction basée sur le temps avec calibrage de référence

✅ Avantages :

• Fournit une preuve concrète de l'impact
• Démontre l'étendue complète de la vulnérabilité
• Journalisation détaillée avec sortie colorée

📋 Cas d'usage : Analyse de sécurité approfondie après confirmation de la vulnérabilité.

🔍 Différence clé : verifierPoC.py vous indique si c'est vulnérable ; exploit.py vous montre ce qui peut être extrait. Les deux jouent des rôles distincts mais complémentaires dans un flux de travail d'évaluation de sécurité.

⚙️ Installation et configuration

Prérequis

• Python 3.6+
• Bibliothèque requests

pip install requests

⚙️ Variables de configuration

Modifiez les variables suivantes en haut des deux scripts :

🚀 Guide d'utilisation

1️⃣ exploit.py - Analyse approfondie

python3 exploit.py

Sortie attendue :

CVE-2026-57821 - Apache Fineract Vulnerability Verifier
══════════════════════════════════════════════════════════════════════════════════════
@tc4dy is here :) Good Luck!

CONNECTION SUCCESS
BASELINE: 0.234s
STARTING VULNERABILITY VERIFICATION
VERIFICATION RESULTS
PostgreSQL: VULNERABLE
MySQL: NOT VULNERABLE
MariaDB: NOT VULNERABLE
Oracle: NOT VULNERABLE
MSSQL: NOT VULNERABLE
CONCLUSION: TARGET IS VULNERABLE (CVE-2026-57821 CONFIRMED)

Interpretation: If VULNERABLE appears for any database type, the target is affected.

🎯 Spécifications techniques

Score CVSS Mesure Valeur Score de base CVSS v3.1 8,1 (Élevé) Vecteur CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H Vecteur d'attaque Réseau Privilèges requis Faible Interaction de l'utilisateur Aucune Score EPSS

0,29 % (probabilité d'exploitation dans les 30 jours)

Correspondance CWE

CWE-89 : Neutralisation incorrecte d'éléments spéciaux utilisés dans une commande SQL ('Injection SQL')

🧪 Plongée technique approfondie

Pourquoi la charge utile fonctionne

Le code vulnérable dans Apache Fineract 1.14.0 :

// Simplified vulnerable logic
String orderBy = request.getParameter("orderBy");
if (ColumnValidator.isValid(orderBy)) {
    // VALIDATOR FAILS FOR: "(SELECT ...)"
    // Only checks against simple column names
    String sql = "SELECT * FROM offices ORDER BY " + orderBy;
    // Executes query with user input directly
}

Exemple de charge utile de l'attaquant :

GET /api/v1/offices?orderBy=(SELECT CASE WHEN (1=1) THEN pg_sleep(5) ELSE pg_sleep(0) END)&limit=1

SQL résultant :

SELECT * FROM offices ORDER BY (SELECT CASE WHEN (1=1) THEN pg_sleep(5) ELSE pg_sleep(0) END)

Le ColumnValidator vérifie les noms de colonnes mais manque la sous-requête imbriquée, permettant l'exécution arbitraire de SQL.

🛡️ Atténuation