CVE-2026-73579
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
W Apache Syncope występuje luka nieprawidłowej autoryzacji. Żądania wyszukiwania są przekształcane na zapytania SQL, Neo4J lub Elasticsearch/Opensearch, a filtr Realms mający ograniczać wyniki do uprawnień żądającego może zostać wyrenderowany jako pusty dla żądań niecyklicznych, znosząc ograniczenia uprawnień.
Ocena ryzyka
Nieuprawniony użytkownik może uzyskać dostęp do wyników wyszukiwania spoza swojego zakresu uprawnień. Może to prowadzić do wycieku danych i naruszenia izolacji Realmów.
Rekomendacja
Zaktualizuj Apache Syncope do wersji 4.0.8 lub 4.1.3. Zweryfikuj konfigurację wyszukiwania i uprawnienia użytkowników po aktualizacji.
Inne podatności w Apache Syncope
Zobacz wszystkie- CVE-2026-73370Krytyczne
Podatność niepoprawnej autoryzacji w Apache Syncope dotyczy usługi Reconciliation (pull i push). Ze względu na niekompletne sprawdzenia bezpieczeństwa delegowanej administracji, wywołania od administratorów bez odpowiednich uprawnień mogą zostać zaakceptowane, co pozwala na niedozwolone działania.
- CVE-2026-78330Krytyczne
Podatność nieprawidłowego przypisania uprawnień w Apache Syncope. Gdy ujawnione zostaną ustawienia JWKS dla wewnętrznego uwierzytelniania JWT (przynajmniej protokół i klucz), atakujący po pomyślnym uwierzytelnieniu i uzyskaniu ważnego JWT z niskimi uprawnieniami może uzyskać uprawnienia administratora.
- CVE-2026-77181Krytyczne
W Apache Syncope występuje luka nieprawidłowej autoryzacji. Administrator posiadający uprawnienie do aktualizacji ClientApp nie może wykonać powiązanej operacji, natomiast uprawnienie do tworzenia ClientApp jest sprawdzane zarówno dla operacji tworzenia, jak i aktualizacji.
- CVE-2026-77051Krytyczne
W Apache Syncope występuje luka SQL Injection wynikająca z niewłaściwej neutralizacji specjalnych elementów w zapytaniach SQL. Administrator z odpowiednimi uprawnieniami może wykonać dowolny kod SQL poprzez zapytania złożone, wykorzystując nieoczyszczone parametry entityKey i opEvent.
- CVE-2026-75030Krytyczne
W Apache Syncope występuje luka braku autoryzacji. Administrator posiadający uprawnienia do wykonywania zadań może masowo tworzyć lub usuwać członkostwa w grupach, niezależnie od swoich uprawnień administracyjnych związanych z grupami.
- CVE-2026-73668Krytyczne
W Apache Syncope występuje luka nieprawidłowej autoryzacji. Administrator z odpowiednimi uprawnieniami w danym Realmie może odczytać przez REST pełną konfigurację Connectora, w tym poufne właściwości, należącego do innego Realm, a następnie zduplikować tę instancję Connectora w Realmie, w którym ma uprawnienia administracyjne.
- CVE-2026-73470Krytyczne
W Apache Syncope występuje luka nieprawidłowego zarządzania uprawnieniami. Delegacje mogą być tworzone lub aktualizowane z rolami nienależącymi do delegującego użytkownika lub spoza poddrzewa Realm, dla którego przyznano zarządzanie delegacjami.
- CVE-2026-87802Krytyczne
W Apache Syncope występuje podatność polegająca na nieprawidłowej weryfikacji podpisu kryptograficznego. Gdy SRA jest skonfigurowane dla OAuth 2.0 bez przypisanego URI JWKS, atakujący może sfałszować dowolne tokeny JWT, podszywając się pod dowolną tożsamość i uprawnienia użytkownika oraz uzyskując pełny dostęp do usług proxy SRA.
- CVE-2026-87785Krytyczne
W Apache Syncope występuje podatność umożliwiająca obejście uwierzytelniania poprzez podszywanie się. Gdy ujawnione zostaną skonfigurowane ustawienia JWKS dla wewnętrznego uwierzytelniania JWT (co najmniej protokół i klucz), atakujący może podszyć się pod uprawnienia innego użytkownika po pomyślnym uwierzytelnieniu i uzyskaniu ważnego tokenu JWT.
- CVE-2026-86460Krytyczne
W warstwie trwałości Neo4j w Apache Syncope występuje podatność na wstrzyknięcie Cypher podczas przetwarzania niektórych warunków wyszukiwania FIQL. Może to pozwolić na manipulację zapytaniami do bazy grafowej.
Oryginalny opis (angielski, źródło NVD)
Incorrect Authorization vulnerability in Apache Syncope. Any search requests are transformed into SQL, Neo4J or Elasticsearch / Opensearch queries, depending on the actual deployment configuration. An important component of such transformation is the Realms filter, which ensures that the search results are matching the requester's permissions. For non-recursive search requests it is possible that such Realms filter is rendered as empty, thus voiding any restriction on requester privileges. This issue affects Apache Syncope: from 3.0.0-M0 through 3.0.16, from 4.0.0-M0 Through 4.0.7, from 4.1.0-M0 through 4.1.2. Users are recommended to upgrade to version 4.0.8 / 4.1.3, which fix this issue.