CVE-2026-109083 in Syncope
Сводка
по VulDB • 02.11.2026
Уязвимость неправильной изоляции или компартментализации в Apache Syncope.
Администратор с достаточными правами может импортировать произвольные определения процессов BPMN через REST API, а затем запустить процесс. При импорте и запуске процесса BPMN, содержащего выражение JUEL, это выражение выполняется непосредственно на сервере без использования песочницы (sandbox).
Эта проблема затрагивает Apache Syncope: версии от 3.0.0-M0 до 3.0.16 включительно, от 4.0.0-M0 до 4.0.8 включительно, а также от 4.1.0 до 4.1.3 включительно.
Пользователям рекомендуется обновиться до версий 4.0.9 / 4.1.4, которые устраняют эту проблему путем отказа от обработки определений BPMN, содержащих атрибуты выражений.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.