CVE-2026-42797
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
Apache Syncope w wersjach 3.0 do 3.0.16, 4.0 do 4.0.5 oraz 4.1.0 zawiera podatność na ujawnienie wrażliwych informacji poprzez złośliwe wyrażenia JEXL w Derived Schemas. Administrator z odpowiednimi uprawnieniami może uzyskać dostęp do danych wrażliwych użytkowników.
Ocena ryzyka
Atakujący administrator może odczytać poufne dane użytkowników, co narusza prywatność i bezpieczeństwo danych.
Rekomendacja
Zaktualizuj Apache Syncope do wersji 4.0.6 lub 4.1.1, które ograniczają definicje wyrażeń JEXL.
Inne podatności w Apache Syncope
Zobacz wszystkie- CVE-2026-63071Krytyczne
W Apache Syncope wykryto podatność polegającą na niewłaściwej izolacji lub compartmentalizacji. Administrator z odpowiednimi uprawnieniami może utworzyć złośliwą klasę Groovy zawierającą niezaufany kod, omijając zabezpieczenia piaskownicy Groovy.
- CVE-2026-62183Krytyczne
W Apache Syncope wykryto podatność polegającą na nieprawidłowym zarządzaniu uprawnieniami. Użytkownik może poprzez wywołanie REST API samodzielnie nadać sobie role administratora, uzyskując tym samym pełną kontrolę nad systemem. Problem dotyczy wersji od 3.0.0-M0 do 3.0.16, od 4.0.0-M0 do 4.0.6 oraz od 4.1.0-M0 do 4.1.1.
- CVE-2026-57308Krytyczne
Podatność SQL Injection w Apache Syncope pozwala administratorowi z odpowiednimi uprawnieniami na wykonanie dowolnego kodu SQL poprzez niesanitowane parametry sortowania. Problem dotyczy wersji od 3.0.0-M0 do 3.0.16, od 4.0.0-M0 do 4.0.6 oraz od 4.1.0-M0 do 4.1.1.
- CVE-2026-53421Krytyczne
W Apache Syncope wykryto podatność polegającą na niewłaściwej izolacji lub compartmentalizacji. Administrator z odpowiednimi uprawnieniami może zdalnie wykonać kod poprzez podsystem łączników, wykorzystując skryptowe łączniki (REST i SQL) do uruchamiania skryptów Groovy.
- CVE-2026-53405Krytyczne
W Apache Syncope wykryto podatność polegającą na braku izolacji skryptów Groovy w procesach BPMN. Administrator z odpowiednimi uprawnieniami może zaimportować dowolną definicję procesu BPMN przez REST API, a następnie uruchomić go, co skutkuje wykonaniem skryptu Groovy bezpośrednio na serwerze bez piaskownicy.
- CVE-2026-62418Wysokie
W Apache Syncope wykryto podatność SSRF (Server-Side Request Forgery) wymagającą uwierzytelnienia z niskimi uprawnieniami. Problem występuje podczas sprawdzania łączników i zasobów, umożliwiając atakującemu wysyłanie żądań z serwera do wewnętrznych systemów.
- CVE-2026-42782Wysokie
W Apache Syncope w wersjach od 3.0 do 3.0.16, od 4.0 do 4.0.5 oraz 4.1.0 odkryto lukę polegającą na niewłaściwej izolacji lub compartmentalizacji. Administrator z odpowiednimi uprawnieniami może utworzyć złośliwą klasę Groovy zawierającą niezaufany kod, który omija sandbox poprzez statyczny inicjalizator klasy. Problem został naprawiony w wersjach 4.0.6 i 4.1.1.
Oryginalny opis (angielski, źródło NVD)
Exposure of Sensitive Information Through Data Queries vulnerability in Apache Syncope. An administrator with adequate entitlements for Derived Schemas can create a malicious JEXL expression which allows any administrator with sufficient entitlements for User read to access User-related security-sensitive information. This issue affects Apache Syncope: 3.0 through 3.0.16, 4.0 through 4.0.5, 4.1.0. Users are recommended to upgrade to version 4.0.6 / 4.1.1, which fix this issue by further restricting the JEXL expression definition.