CVE-2026-42782
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
W Apache Syncope w wersjach od 3.0 do 3.0.16, od 4.0 do 4.0.5 oraz 4.1.0 odkryto lukę polegającą na niewłaściwej izolacji lub compartmentalizacji. Administrator z odpowiednimi uprawnieniami może utworzyć złośliwą klasę Groovy zawierającą niezaufany kod, który omija sandbox poprzez statyczny inicjalizator klasy. Problem został naprawiony w wersjach 4.0.6 i 4.1.1.
Ocena ryzyka
Administrator może wykonać dowolny kod poza sandboxem, co prowadzi do pełnego przejęcia serwera i naruszenia wszystkich danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Apache Syncope do wersji 4.0.6 lub 4.1.1. Należy również ograniczyć uprawnienia administratorów do minimum niezbędnego.
Inne podatności w Apache Syncope
Zobacz wszystkie- CVE-2026-63071Krytyczne
W Apache Syncope wykryto podatność polegającą na niewłaściwej izolacji lub compartmentalizacji. Administrator z odpowiednimi uprawnieniami może utworzyć złośliwą klasę Groovy zawierającą niezaufany kod, omijając zabezpieczenia piaskownicy Groovy.
- CVE-2026-62183Krytyczne
W Apache Syncope wykryto podatność polegającą na nieprawidłowym zarządzaniu uprawnieniami. Użytkownik może poprzez wywołanie REST API samodzielnie nadać sobie role administratora, uzyskując tym samym pełną kontrolę nad systemem. Problem dotyczy wersji od 3.0.0-M0 do 3.0.16, od 4.0.0-M0 do 4.0.6 oraz od 4.1.0-M0 do 4.1.1.
- CVE-2026-57308Krytyczne
Podatność SQL Injection w Apache Syncope pozwala administratorowi z odpowiednimi uprawnieniami na wykonanie dowolnego kodu SQL poprzez niesanitowane parametry sortowania. Problem dotyczy wersji od 3.0.0-M0 do 3.0.16, od 4.0.0-M0 do 4.0.6 oraz od 4.1.0-M0 do 4.1.1.
- CVE-2026-53421Krytyczne
W Apache Syncope wykryto podatność polegającą na niewłaściwej izolacji lub compartmentalizacji. Administrator z odpowiednimi uprawnieniami może zdalnie wykonać kod poprzez podsystem łączników, wykorzystując skryptowe łączniki (REST i SQL) do uruchamiania skryptów Groovy.
- CVE-2026-53405Krytyczne
W Apache Syncope wykryto podatność polegającą na braku izolacji skryptów Groovy w procesach BPMN. Administrator z odpowiednimi uprawnieniami może zaimportować dowolną definicję procesu BPMN przez REST API, a następnie uruchomić go, co skutkuje wykonaniem skryptu Groovy bezpośrednio na serwerze bez piaskownicy.
- CVE-2026-62418Wysokie
W Apache Syncope wykryto podatność SSRF (Server-Side Request Forgery) wymagającą uwierzytelnienia z niskimi uprawnieniami. Problem występuje podczas sprawdzania łączników i zasobów, umożliwiając atakującemu wysyłanie żądań z serwera do wewnętrznych systemów.
- CVE-2026-42797Średnie
Apache Syncope w wersjach 3.0 do 3.0.16, 4.0 do 4.0.5 oraz 4.1.0 zawiera podatność na ujawnienie wrażliwych informacji poprzez złośliwe wyrażenia JEXL w Derived Schemas. Administrator z odpowiednimi uprawnieniami może uzyskać dostęp do danych wrażliwych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Improper Isolation or Compartmentalization vulnerability in Apache Syncope. An administrator with adequate entitlements for Implementations can create a malicious Groovy class containing untrusted code reaching a non-sandboxed execution path via the class static initializer. This issue affects Apache Syncope: 3.0 through 3.0.16, 4.0 through 4.0.5, 4.1.0. Users are recommended to upgrade to version 4.0.6 / 4.1.1, which fix this issue by forcing even the static initializer in Groovy code to run in a sandbox.