CVE-2026-53405
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
W Apache Syncope wykryto podatność polegającą na braku izolacji skryptów Groovy w procesach BPMN. Administrator z odpowiednimi uprawnieniami może zaimportować dowolną definicję procesu BPMN przez REST API, a następnie uruchomić go, co skutkuje wykonaniem skryptu Groovy bezpośrednio na serwerze bez piaskownicy.
Ocena ryzyka
Atakujący z uprawnieniami administratora może uzyskać zdalne wykonanie kodu na serwerze, co prowadzi do pełnej kompromitacji systemu, kradzieży danych lub przerwania działania usługi.
Rekomendacja
Należy niezwłocznie zaktualizować Apache Syncope do wersji 4.0.7 lub 4.1.2, które zawierają poprawkę zabezpieczającą skrypty Groovy w procesach BPMN za pomocą piaskownicy bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
Improper Isolation or Compartmentalization vulnerability in Apache Syncope. An administrator with adequate entitlements can import arbitrary BPMN process definitions via the REST API and then start the process. When a BPMN process containing a Groovy scriptTask is imported and started, the Groovy script is executed directly on the server, with no sandbox. This issue affects Apache Syncope: from 3.0.0-M0 through 3.0.16, from 4.0.0-M0 Through 4.0.6, from 4.1.0-M0 through 4.1.1. Users are recommended to upgrade to version 4.0.7 / 4.1.2, which fix this issue by wrapping Flowable's Groovy scriptTasks with security sandbox.