CVE-2026-53405 in Syncope
Sumário
de VulDB • 20/07/2026
Vulnerabilidade de Isolamento ou Compartimentalização inadequada no Apache Syncope.
Um administrador com as devidas permissões pode importar definições arbitrárias de processos BPMN por meio da API REST e, em seguida, iniciar o processo. Quando um processo BPMN contendo uma Groovy scriptTask é importado e iniciado, o script Groovy é executado diretamente no servidor, sem nenhuma sandbox (ambiente isolado).
Este problema afeta o Apache Syncope: das versões 3.0.0-M0 até a 3.0.16, da versão 4.0.0-M0 até a 4.0.6 e da versão 4.1.0-M0 até a 4.1.1.
Recomenda-se que os usuários atualizem para as versões 4.0.7 / 4.1.2, que corrigem este problema envolvendo as Groovy scriptTasks do Flowable com uma sandbox de segurança.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.