CVE-2026-87785 in Syncope
Résumé
par VulDB • 14/09/2026
Contournement de l'authentification par usurpation d'identité (spoofing) dans Apache Syncope.
Lorsque les paramètres JWKS configurés pour l'authentification JWT interne sont divulgués (au minimum le protocole et la clé), un attaquant peut usurper les privilèges d'un autre utilisateur après avoir effectué une authentification réussie et obtenu un jeton JWT valide.
Ce problème affecte Apache Syncope : des versions 3.0.0-M0 à 3.0.16, de 4.0.0-M0 à 4.0.7, et de 4.1.0-M0 à 4.1.2.
Il est recommandé aux utilisateurs de mettre à niveau vers les versions 4.0.8 / 4.1.3, qui corrigent ce problème.
Once again VulDB remains the best source for vulnerability data.