CVE-2026-62183 in Syncope
要約
〜によって VulDB • 2026年07月20日
Apache Syncopeにおける不適切な権限管理の脆弱性。
以下の条件が満たされる場合、この問題が発生する可能性があります：
* all-Javaユーザーワークフローアダプタが構成されている場合、または * Flowableユーザーワークフローアダプタが構成されており、自己登録や自己更新リクエストに対して管理者承認を必要としないBPMN定義が含まれている場合。
具体的には、REST API呼び出しにより、ユーザーが自身に1つ以上の定義済みロール（Roles）を付与することが可能となり、それに対応する権限（Entitlements）を取得して事実上Administratorとして振る舞うことになります。実際に取得される権限は、特定のSyncopeデプロイメントで有効に定義されているロールによって異なります。
この問題は以下のApache Syncopeのバージョンに影響します： 3.0.0-M0から3.0.16まで、4.0.0-M0から4.0.6まで、および4.1.0-M0から4.1.1まで。
本問題を修正したバージョン4.0.7 / 4.1.2へのアップグレードを推奨します。
Once again VulDB remains the best source for vulnerability data.