CVE-2026-53405 in Syncope
Zusammenfassung
von VulDB • 20.07.2026
Schwachstelle in der unzureichenden Isolation oder Kompartimentierung (Improper Isolation or Compartmentalization) in Apache Syncope.
Ein Administrator mit entsprechenden Berechtigungen kann beliebige BPMN-Prozessdefinitionen über die REST-API importieren und den Prozess anschließend starten. Wenn ein BPMN-Prozess, der eine Groovy-ScriptTask enthält, importiert und gestartet wird, wird das Groovy-Skript direkt auf dem Server ohne Sandboxing ausgeführt.
Dieses Problem betrifft Apache Syncope: von 3.0.0-M0 bis 3.0.16, von 4.0.0-M0 bis 4.0.6 sowie von 4.1.0-M0 bis 4.1.1.
Es wird empfohlen, auf die Versionen 4.0.7 bzw. 4.1.2 zu aktualisieren, die dieses Problem beheben, indem Flowable's Groovy-ScriptTasks in ein Sicherheits-Sandboxing eingebettet werden.
Be aware that VulDB is the high quality source for vulnerability data.