--- title: "Apache Fineract 1.15.0 以前の CVE-2026-64618: 検索 API の SQL インジェクション。CVSS v3.1 9.8" url: https://n-t-p.io/worldsecurity/articles/apache-fineract-search-advance-sql-injection-cve-2026-64618 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月3日 updated: 2026年11月3日 severity: 高 cve: CVE-2026-64618 --- # Apache Fineract 1.15.0 以前の CVE-2026-64618: 検索 API の SQL インジェクション。CVSS v3.1 9.8 > **TL;DR:** Apache Fineract 1.15.0 以前の高度検索 API（/fineract-provider/api/v1/search/advance）で、outStandingAmountPercentageCondition パラメーターに SQL インジェクションがある（CVE-2026-64618）。NVD は CVSS v3.1 9.8（認証不要と評価）。Apache は 1.16.1 への更新を推奨。KEV なし、EPSS 0.0023。 **要点** - `outStandingAmountPercentageCondition` の入力が無害化されず SQL インジェクション（CWE-89）。Apache の深刻度は important - NVD は CVSS v3.1 9.8（AV:N/PR:N/UI:N）で認証不要と評価していますが、Apache の深刻度は important で、告知に認証の要否はなく実際に必要な権限は未確認のため、本サイトでは high - 対象は 1.15.0 以前（NVD は 1.16.0 未満）。1.16.1 へ更新するのが第一の対策 - 悪用の実態は未確認。KEV なし、EPSS 0.0023（パーセンタイル 0.137） オープンソースの金融基盤 Apache Fineract に、SQL インジェクション（CWE-89）の脆弱性 CVE-2026-64618 が公開されました。NVD は 2026-11-02 に分析を終え（状態は Analyzed）、CVSS v3.1 は 9.8（Critical、AV:N/AC:L/PR:N/UI:N）です。`/fineract-provider/api/v1/search/advance` の `outStandingAmountPercentageCondition` パラメーターの入力が十分に無害化されず、SQL 文に影響を与えられます。Apache は 1.16.1 への更新を推奨しています。 ## 概要 | 項目 | 内容 | |---|---| | CVE | CVE-2026-64618 | | 製品 | Apache Fineract（Apache Software Foundation） | | 問題 | 高度検索 API の `outStandingAmountPercentageCondition` パラメーターに対する SQL インジェクション（CWE-89） | | 対象 | `/fineract-provider/api/v1/search/advance` | | 対象版 | 1.15.0 以前（Apache の告知）。NVD の構成データは 1.16.0 未満 | | 修正版 | 1.16.1（Apache の推奨） | | Apache の深刻度 | important | - 悪用に成功した場合の影響として、NVD の評価は機密性・完全性・可用性のすべてが High です。貸出・顧客などの金融データの読み取りや改ざん、サービス停止が懸念されます。 - NVD の評価は認証不要（PR:N）ですが、Apache の告知には認証の要否が書かれていません。実際に API を呼び出すために必要な権限は未確認です。 - 実際の攻撃での悪用は確認されていません。 ## 影響範囲 Apache は 1.15.0 までの版が対象としています。NVD の構成データでは 1.16.0 未満とされ、版の境界に表記の差があります。1.16.0 を使っている場合の扱いは、Apache の告知どおり 1.16.1 へ更新して解消するのが確実です。 - Fineract を自社で運用している組織や、Fineract をベースにした貸付・マイクロファイナンスの基盤を使っている組織が対象になりえます。 - 高度検索 API を外部に公開していない構成でも、内部の利用者や連携システムから到達できる場合は影響を受けます。 ## 修正と対策 - **1.16.1 以降へ更新する。** 修正は Apache Fineract の Pull Request #6153 で公開されています。 - 更新できるまでの間は、`/fineract-provider/api/v1/search/advance` へのアクセスを、リバースプロキシーや WAF で信頼できる接続元に限定する。 - アプリケーションが使うデータベースのアカウントから、不要な権限（他のスキーマの参照、ファイル操作など）を外す。 - 検索 API へのリクエストのログを確認し、`outStandingAmountPercentageCondition` に SQL の構文を含む不審な値がないかを調べる。 ## 数値と出典（2026-11-03 時点） | 項目 | 内容 | |---|---| | NVD の状態 | Analyzed（最終更新 2026-11-02） | | CVSS v3.1 | 9.8 Critical（NVD、CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H） | | CWE | CWE-89（SQL インジェクション） | | EPSS | 0.0023（パーセンタイル 0.137、FIRST、2026-11-02） | | KEV | 掲載なし（CISA のカタログを確認） | | 出典 | NVD、Apache Fineract の告知（oss-security）、FIRST、CISA | ## 未確認の点 - 攻撃に必要な権限（認証の要否）。NVD は認証不要と評価していますが、Apache の告知に記載はありません。 - 1.16.0 が影響を受けるかどうか（Apache の告知は 1.15.0 以前、NVD は 1.16.0 未満）。 - 実際の攻撃での悪用の有無（KEV 掲載なし、EPSS は低い値）。 - 取得できるデータの範囲や、利用する DBMS による影響の違い。 ## 出典 - [NVD CVE-2026-64618](https://nvd.nist.gov/vuln/detail/CVE-2026-64618) — NIST NVD - [Apache Fineract 告知（oss-security）](https://www.openwall.com/lists/oss-security/2026/10/30/4) — oss-security - [Apache Fineract 修正 PR #6153](https://github.com/apache/fineract/pull/6153) — Apache Fineract - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-64618) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/apache-fineract-search-advance-sql-injection-cve-2026-64618