本文使用的 Docker 镜像
发布日期： 2026 年 11 月 2 日
风险等级： 严重（Critical）
漏洞编号： CVE-2026-64618、CVE-2026-65874
涉及镜像： apache/fineract — 轩辕镜像 · Docker Hub
CVSS： CVE-2026-64618 为 9.8（Critical，CVSS 3.1）。CVE-2026-65874 为 8.8（High，CVSS 3.1）
披露时间： NVD 初发于 2026 年 10 月 30 日；2026 年 11 月 2 日 lastMod 进入本窗口
相关公告： Apache 邮件列表通告
一、漏洞概述
两条都出在 1.15.0 及更低，一次升到 1.16.1 可以一起盖住。
CVE-2026-64618。 高级搜索接口里的金额比例条件没有充分中和，可以拼进 SQL。按 NVD 向量，未登录即可远程打到。CVSS 3.1 为 9.8。
CVE-2026-65874。 读取 Center 列表和 datatable 时，排序相关参数被直接拼进 ORDER BY。原有的格式校验挡不住这次的写法，已登录且具备相应读权限的用户可以做时间盲注。CVSS 3.1 为 8.8。
二、漏洞状态
统计截止： 2026 年 11 月 2 日（UTC+8）
| 项目 | 状态 |
|---|---|
| 漏洞细节 | 已公开（Apache 通告、NVD） |
| 受影响版本 | ≤ 1.15.0 |
| 官方补丁 | ≥ 1.16.1 |
| 镜像标签 | Hub 上没有 1.16.1、1.16.0。现有 latest、develop 和若干 commit 短标签。latest 与 develop 目前是同一份镜像。Hub 标明该镜像不面向生产 |
| CISA KEV | 未列入 |
三、影响范围
对外暴露 Fineract Search API，或已登录用户能调用 Center / Datatable 读接口的部署。官方 Docker 镜像若仍停在 1.15.0 及更低的构建，同受影响。
四、修复建议
升到 1.16.1 或更高。通告见 Apache 邮件列表。
不要拉取 apache/fineract:latest、develop 或任意 commit 短标签来修这两条。Hub 上没有 1.16.1 发行版标签。请从官方仓库检出注释标签 1.16.1（或更高），自行构建镜像后再部署。Hub 上的该仓本身也标明不面向生产。
Docker Hub： apache/fineract
轩辕镜像： apache/fineract
五、临时缓解措施
在升到 1.16.1 之前，不要把高级搜索接口继续暴露到不可信网络，并收紧谁能读 Center 和 datatable。这不能代替 1.16.1。
六、与轩辕镜像用户的相关说明
轩辕镜像提供的是镜像加速与拉取服务，不替代 Fineract 的版本修复。加速拉取 latest 或 develop 不会变成 1.16.1。请用 git 标签 1.16.1 自建后再部署。
七、参考链接
- Apache：邮件列表通告
- NVD：CVE-2026-64618 · CVE-2026-65874
- Docker Hub：apache/fineract
- 轩辕站内镜像页：apache/fineract
阅读原文
轩辕镜像安全团队
2026 年 11 月 2 日
评论交流
免责声明
本博客文章所提供的内容、技术方案、配置示例及部署指南等信息，仅供学习交流和技术参考使用。文章内容基于发布时的技术环境和版本信息编写，可能因时间推移、技术更新或环境差异而存在不适用的情况。
文中提及的第三方镜像由其原维护者自行维护与更新，轩辕镜像不负责相关镜像的维护。如镜像涉及版权争议或违法违规情形，请直接联系该镜像维护者处理，相关事宜与轩辕镜像无关。
用户在参考本博客内容进行部署操作前，应当充分了解相关技术风险，并建议在测试环境中进行充分验证和测试，确认无误后再考虑在生产环境中使用。生产环境部署前，请务必进行数据备份，并制定相应的回滚方案。
用户因使用本博客内容进行部署操作而产生的任何损失、数据丢失、系统故障、安全风险或其他问题，均由用户自行承担全部责任。轩辕镜像官方不对因使用本博客内容而产生的任何直接或间接损失承担责任。
本免责声明的最终解释权归轩辕镜像官方所有。