CVE-2026-53421
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
W Apache Syncope wykryto podatność polegającą na niewłaściwej izolacji lub compartmentalizacji. Administrator z odpowiednimi uprawnieniami może zdalnie wykonać kod poprzez podsystem łączników, wykorzystując skryptowe łączniki (REST i SQL) do uruchamiania skryptów Groovy.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego wykonania kodu przez uprawnionego administratora, co może prowadzić do pełnego przejęcia kontroli nad systemem Syncope i naruszenia poufności, integralności oraz dostępności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Apache Syncope do wersji 4.0.7 lub 4.1.2, które usuwają tę podatność poprzez wzmocnienie piaskownicy bezpieczeństwa Groovy.
Oryginalny opis (angielski, źródło NVD)
Improper Isolation or Compartmentalization vulnerability in Apache Syncope. An administrator with adequate entitlements can achieve remote code execution through the connector subsystem by relying on scripted connectors' (REST and SQL) capability to run Groovy scripts. This issue affects Apache Syncope: from 3.0.0-M0 through 3.0.16, from 4.0.0-M0 Through 4.0.6, from 4.1.0-M0 through 4.1.1. Users are recommended to upgrade to version 4.0.7 / 4.1.2, which fix this issue by hardening the Groovy security sandbox.