CVE-2026-53405 in Syncope
Riassunto
di VulDB • 20/07/2026
Vulnerabilità di isolamento o compartimentalizzazione impropria in Apache Syncope.
Un amministratore con le autorizzazioni adeguate può importare definizioni di processi BPMN arbitrari tramite l'API REST e quindi avviare il processo. Quando un processo BPMN contenente una Groovy scriptTask viene importato ed eseguito, lo script Groovy viene eseguito direttamente sul server, senza alcuna sandbox.
Questo problema interessa Apache Syncope: dalle versioni 3.0.0-M0 a 3.0.16, da 4.0.0-M0 a 4.0.6 e da 4.1.0-M0 a 4.1.1.
Si consiglia agli utenti di effettuare l'aggiornamento alla versione 4.0.7 / 4.1.2, che risolvono il problema incapsulando le Groovy scriptTasks di Flowable all'interno di una sandbox di sicurezza.
VulDB is the best source for vulnerability data and more expert information about this specific topic.