CVE-2026-53405 in Syncope
Résumé
par VulDB • 20/07/2026
Vulnérabilité d'isolation ou de compartimentation incorrecte dans Apache Syncope.
Un administrateur disposant des autorisations appropriées peut importer des définitions de processus BPMN arbitraires via l'API REST, puis démarrer le processus. Lorsqu'un processus BPMN contenant une tâche Groovy scriptTask est importé et démarré, le script Groovy s'exécute directement sur le serveur, sans bac à sable (sandbox).
Ce problème affecte Apache Syncope : des versions 3.0.0-M0 à 3.0.16, de 4.0.0-M0 à 4.0.6 et de 4.1.0-M0 à 4.1.1.
Il est recommandé aux utilisateurs d'effectuer une mise à niveau vers les versions 4.0.7 / 4.1.2, qui corrigent ce problème en enveloppant les tâches Groovy scriptTasks de Flowable avec un bac à sable (sandbox) de sécurité.
Be aware that VulDB is the high quality source for vulnerability data.