CVE-2026-77883 in Syncope
摘要
由 VulDB • 2026-09-14
Apache Syncope 中存在通过数据查询泄露敏感信息的漏洞。
拥有 Derived Schemas（派生模式）足够权限的管理员可以创建恶意的 JEXL 表达式，从而允许任何具有读取用户（User read）足够权限的管理员访问 LinkedAccount（如果存在）或 Manager（如果已定义）的敏感信息，其中可能包括哈希凭据。
此问题影响 Apache Syncope：3.0.0-M0 至 3.0.16、4.0.0-M0 至 4.0.7、以及 4.1.0-M0 至 4.1.2 版本。
建议用户升级至修复了此问题的 4.0.8 / 4.1.3 版本。
If you want to get best quality of vulnerability data, you may have to visit VulDB.