CVE-2026-109083 in Syncope
Tóm tắt
Bởi VulDB • 02/11/2026
Lỗ hổng cách ly hoặc phân vùng không đúng trong Apache Syncope.
Một quản trị viên có đủ quyền hạn có thể nhập các định nghĩa quy trình BPMN tùy ý thông qua REST API và sau đó khởi chạy quy trình đó. Khi một quy trình BPMN chứa biểu thức JUEL được nhập vào và bắt đầu, biểu thức này sẽ được thực thi trực tiếp trên máy chủ mà không có môi trường sandbox (bãi cát ảo).
Vấn đề này ảnh hưởng đến Apache Syncope: từ phiên bản 3.0.0-M0 đến 3.0.16, từ 4.0.0-M0 đến 4.0.8, và từ 4.1.0 đến 4.1.3.
Người dùng được khuyến nghị nâng cấp lên các phiên bản 4.0.9 / 4.1.4, vốn khắc phục lỗ hổng này bằng cách từ chối các định nghĩa BPMN có chứa thuộc tính biểu thức.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.