近日，博智安全观测到开源组件Apache Fineract 项目发布严重漏洞预警CVE-2022-44635，Apache Fineract 文件上传组件中的路径遍历漏洞。

由于 Apache Fineract 文件上传组件中的路径遍历漏洞，Apache Fineract 允许经过身份验证的用户执行远程代码执行，从而允许攻击者运行远程代码。

程序介绍：

Apache Fineract是美国阿帕奇（Apache）基金会的一套开源数字金融服务平台。该平台能够为用户提供数据管理、贷款和储蓄投资组合管理以及实时财务数据等功能。

一、漏洞介绍

由于 Apache Fineract 的文件上传组件中存在路径遍历漏洞，Apache Fineract 允许经过身份验证的用户执行远程代码，从而允许攻击者运行远程代码。

在典型部署下，可以运行远程代码。  

二、危害影响

此问题会影响 Apache Fineract 版本 1.8.0 和之前的版本。

三、修复建议

建议用户升级到 1.8.1。

来源:

https://cwiki.apache.org/confluence/display/FINERACT/Fineract+Project+Security+Report

https://lists.apache.org/thread/t8q6fmh3o6yqmy69qtqxppk9yg9wfybg