CVE-2026-63071
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
W Apache Syncope wykryto podatność polegającą na niewłaściwej izolacji lub compartmentalizacji. Administrator z odpowiednimi uprawnieniami może utworzyć złośliwą klasę Groovy zawierającą niezaufany kod, omijając zabezpieczenia piaskownicy Groovy.
Ocena ryzyka
Ryzyko polega na możliwości wykonania nieautoryzowanego kodu przez uprzywilejowanego administratora, co może prowadzić do naruszenia integralności systemu i danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Apache Syncope do wersji 4.0.7 lub 4.1.2, które zaostrzają zabezpieczenia piaskownicy Groovy.
Oryginalny opis (angielski, źródło NVD)
Improper Isolation or Compartmentalization vulnerability in Apache Syncope. An administrator with adequate entitlements for Implementations can create a malicious Groovy class containing untrusted code bypassing the Groovy security sandbox. This issue affects Apache Syncope: from 3.0.0-M0 through 3.0.16, from 4.0.0-M0 through 4.0.6, from 4.1.0-M0 through 4.1.1. Users are recommended to upgrade to version 4.0.7 / 4.1.2, which fix this issue by tightening the Groovy security sandbox.