CVE-2026-57308
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Podatność SQL Injection w Apache Syncope pozwala administratorowi z odpowiednimi uprawnieniami na wykonanie dowolnego kodu SQL poprzez niesanitowane parametry sortowania. Problem dotyczy wersji od 3.0.0-M0 do 3.0.16, od 4.0.0-M0 do 4.0.6 oraz od 4.1.0-M0 do 4.1.1.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do bazy danych, modyfikować lub wykraść wrażliwe dane, co stanowi poważne zagrożenie dla poufności i integralności systemu.
Rekomendacja
Należy niezwłocznie zaktualizować Apache Syncope do wersji 4.0.7 lub 4.1.2, które zawierają poprawkę eliminującą podatność.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in Apache Syncope. An administrator with adequate entitlements can achieve execution of arbitrary SQL via stacked queries, leveraging unsanitized sort parameters. This issue affects Apache Syncope: from 3.0.0-M0 through 3.0.16, from 4.0.0-M0 Through 4.0.6, from 4.1.0-M0 through 4.1.1. Users are recommended to upgrade to version 4.0.7 / 4.1.2, which fix this issue.