CVE-2026-53405 in Syncope
要約
〜によって VulDB • 2026年07月20日
Apache Syncopeにおける不適切な分離またはコンパートメント化の脆弱性。
適切な権限を持つ管理者は、REST APIを介して任意のBPMNプロセス定義をインポートし、その後でそのプロセスを開始することができます。Groovyスクリプトタスクを含むBPMNプロセスがインポートされて開始されると、サンドボックスなしでサーバー上で直接Groovyスクリプトが実行されます。
この問題は以下のApache Syncopeバージョンに影響します：3.0.0-M0から3.0.16まで、4.0.0-M0から4.0.6まで、および4.1.0-M0から4.1.1まで。
ユーザーには、FlowableのGroovyスクリプトタスクをセキュリティサンドボックスでラップすることでこの問題を修正するバージョン4.0.7 / 4.1.2へのアップグレードが推奨されます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.