CVE-2026-53405
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
W Apache Syncope wykryto podatność polegającą na braku izolacji skryptów Groovy w procesach BPMN. Administrator z odpowiednimi uprawnieniami może zaimportować dowolną definicję procesu BPMN przez REST API, a następnie uruchomić go, co skutkuje wykonaniem skryptu Groovy bezpośrednio na serwerze bez piaskownicy.
Ocena ryzyka
Atakujący z uprawnieniami administratora może uzyskać zdalne wykonanie kodu na serwerze, co prowadzi do pełnej kompromitacji systemu, kradzieży danych lub przerwania działania usługi.
Rekomendacja
Należy niezwłocznie zaktualizować Apache Syncope do wersji 4.0.7 lub 4.1.2, które zawierają poprawkę zabezpieczającą skrypty Groovy w procesach BPMN za pomocą piaskownicy bezpieczeństwa.
Inne podatności w Apache Syncope
Zobacz wszystkie- CVE-2026-73370Krytyczne
Podatność niepoprawnej autoryzacji w Apache Syncope dotyczy usługi Reconciliation (pull i push). Ze względu na niekompletne sprawdzenia bezpieczeństwa delegowanej administracji, wywołania od administratorów bez odpowiednich uprawnień mogą zostać zaakceptowane, co pozwala na niedozwolone działania.
- CVE-2026-78330Krytyczne
Podatność nieprawidłowego przypisania uprawnień w Apache Syncope. Gdy ujawnione zostaną ustawienia JWKS dla wewnętrznego uwierzytelniania JWT (przynajmniej protokół i klucz), atakujący po pomyślnym uwierzytelnieniu i uzyskaniu ważnego JWT z niskimi uprawnieniami może uzyskać uprawnienia administratora.
- CVE-2026-87802Krytyczne
W Apache Syncope występuje podatność polegająca na nieprawidłowej weryfikacji podpisu kryptograficznego. Gdy SRA jest skonfigurowane dla OAuth 2.0 bez przypisanego URI JWKS, atakujący może sfałszować dowolne tokeny JWT, podszywając się pod dowolną tożsamość i uprawnienia użytkownika oraz uzyskując pełny dostęp do usług proxy SRA.
- CVE-2026-87785Krytyczne
W Apache Syncope występuje podatność umożliwiająca obejście uwierzytelniania poprzez podszywanie się. Gdy ujawnione zostaną skonfigurowane ustawienia JWKS dla wewnętrznego uwierzytelniania JWT (co najmniej protokół i klucz), atakujący może podszyć się pod uprawnienia innego użytkownika po pomyślnym uwierzytelnieniu i uzyskaniu ważnego tokenu JWT.
- CVE-2026-86460Krytyczne
W warstwie trwałości Neo4j w Apache Syncope występuje podatność na wstrzyknięcie Cypher podczas przetwarzania niektórych warunków wyszukiwania FIQL. Może to pozwolić na manipulację zapytaniami do bazy grafowej.
- CVE-2026-82232Krytyczne
W Apache Syncope występuje podatność typu SQL injection wynikająca z nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL. Administrator z odpowiednimi uprawnieniami może wykonać dowolny SQL poprzez zapytania złożone (stacked queries), wykorzystując nieoczyszczone klauzule sortowania w wyszukiwaniu zadań.
- CVE-2026-63071Krytyczne
W Apache Syncope wykryto podatność polegającą na niewłaściwej izolacji lub compartmentalizacji. Administrator z odpowiednimi uprawnieniami może utworzyć złośliwą klasę Groovy zawierającą niezaufany kod, omijając zabezpieczenia piaskownicy Groovy.
- CVE-2026-62183Krytyczne
W Apache Syncope wykryto podatność polegającą na nieprawidłowym zarządzaniu uprawnieniami. Użytkownik może poprzez wywołanie REST API samodzielnie nadać sobie role administratora, uzyskując tym samym pełną kontrolę nad systemem. Problem dotyczy wersji od 3.0.0-M0 do 3.0.16, od 4.0.0-M0 do 4.0.6 oraz od 4.1.0-M0 do 4.1.1.
- CVE-2026-57308Krytyczne
Podatność SQL Injection w Apache Syncope pozwala administratorowi z odpowiednimi uprawnieniami na wykonanie dowolnego kodu SQL poprzez niesanitowane parametry sortowania. Problem dotyczy wersji od 3.0.0-M0 do 3.0.16, od 4.0.0-M0 do 4.0.6 oraz od 4.1.0-M0 do 4.1.1.
- CVE-2026-53421Krytyczne
W Apache Syncope wykryto podatność polegającą na niewłaściwej izolacji lub compartmentalizacji. Administrator z odpowiednimi uprawnieniami może zdalnie wykonać kod poprzez podsystem łączników, wykorzystując skryptowe łączniki (REST i SQL) do uruchamiania skryptów Groovy.
Oryginalny opis (angielski, źródło NVD)
Improper Isolation or Compartmentalization vulnerability in Apache Syncope. An administrator with adequate entitlements can import arbitrary BPMN process definitions via the REST API and then start the process. When a BPMN process containing a Groovy scriptTask is imported and started, the Groovy script is executed directly on the server, with no sandbox. This issue affects Apache Syncope: from 3.0.0-M0 through 3.0.16, from 4.0.0-M0 Through 4.0.6, from 4.1.0-M0 through 4.1.1. Users are recommended to upgrade to version 4.0.7 / 4.1.2, which fix this issue by wrapping Flowable's Groovy scriptTasks with security sandbox.