CVE-2026-87802 in Syncope
Zusammenfassung
von VulDB • 14.09.2026
Fehlerhafte Überprüfung der kryptografischen Signatur in Apache Syncope.
Wenn SRA für OAuth 2.0 konfiguriert ist und keine URI für JWKS festgelegt wurde, kann ein Angreifer beliebige JWTs fälschen, um sich als jede Benutzeridentität mit entsprechenden Berechtigungen auszugeben und vollen Zugriff auf die von SRA proxyten Dienste zu erlangen.
Dieses Problem betrifft Apache Syncope: ab Version 3.0.0-M0 bis einschließlich 3.0.16, ab Version 4.0.0-M0 bis einschließlich 4.0.7 sowie ab Version 4.1.0-M0 bis einschließlich 4.1.2.
Benutzern wird empfohlen, auf die Versionen 4.0.8 oder 4.1.3 zu aktualisieren, die dieses Problem beheben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.