Apache Fineract 1.15.0 以前の CVE-2026-64618: 検索 API の SQL インジェクション。CVSS v3.1 9.8

オープンソースの金融基盤 Apache Fineract に、SQL インジェクション（CWE-89）の脆弱性 CVE-2026-64618 が公開されました。NVD は 2026-11-02 に分析を終え（状態は Analyzed）、CVSS v3.1 は 9.8（Critical、AV:N/AC:L/PR:N/UI:N）です。/fineract-provider/api/v1/search/advance の outStandingAmountPercentageCondition パラメーターの入力が十分に無害化されず、SQL 文に影響を与えられます。Apache は 1.16.1 への更新を推奨しています。

概要

項目	内容
CVE	CVE-2026-64618
製品	Apache Fineract（Apache Software Foundation）
問題	高度検索 API の outStandingAmountPercentageCondition パラメーターに対する SQL インジェクション（CWE-89）
対象	/fineract-provider/api/v1/search/advance
対象版	1.15.0 以前（Apache の告知）。NVD の構成データは 1.16.0 未満
修正版	1.16.1（Apache の推奨）
Apache の深刻度	important

• 悪用に成功した場合の影響として、NVD の評価は機密性・完全性・可用性のすべてが High です。貸出・顧客などの金融データの読み取りや改ざん、サービス停止が懸念されます。
• NVD の評価は認証不要（PR:N）ですが、Apache の告知には認証の要否が書かれていません。実際に API を呼び出すために必要な権限は未確認です。
• 実際の攻撃での悪用は確認されていません。

影響範囲

Apache は 1.15.0 までの版が対象としています。NVD の構成データでは 1.16.0 未満とされ、版の境界に表記の差があります。1.16.0 を使っている場合の扱いは、Apache の告知どおり 1.16.1 へ更新して解消するのが確実です。

• Fineract を自社で運用している組織や、Fineract をベースにした貸付・マイクロファイナンスの基盤を使っている組織が対象になりえます。
• 高度検索 API を外部に公開していない構成でも、内部の利用者や連携システムから到達できる場合は影響を受けます。

修正と対策

• 1.16.1 以降へ更新する。 修正は Apache Fineract の Pull Request #6153 で公開されています。
• 更新できるまでの間は、/fineract-provider/api/v1/search/advance へのアクセスを、リバースプロキシーや WAF で信頼できる接続元に限定する。
• アプリケーションが使うデータベースのアカウントから、不要な権限（他のスキーマの参照、ファイル操作など）を外す。
• 検索 API へのリクエストのログを確認し、outStandingAmountPercentageCondition に SQL の構文を含む不審な値がないかを調べる。

数値と出典（2026-11-03 時点）

項目	内容
NVD の状態	Analyzed（最終更新 2026-11-02）
CVSS v3.1	9.8 Critical（NVD、CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）
CWE	CWE-89（SQL インジェクション）
EPSS	0.0023（パーセンタイル 0.137、FIRST、2026-11-02）
KEV	掲載なし（CISA のカタログを確認）
出典	NVD、Apache Fineract の告知（oss-security）、FIRST、CISA

未確認の点

• 攻撃に必要な権限（認証の要否）。NVD は認証不要と評価していますが、Apache の告知に記載はありません。
• 1.16.0 が影響を受けるかどうか（Apache の告知は 1.15.0 以前、NVD は 1.16.0 未満）。
• 実際の攻撃での悪用の有無（KEV 掲載なし、EPSS は低い値）。
• 取得できるデータの範囲や、利用する DBMS による影響の違い。