CVE-2026-113687

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.8
EPSS: 0.2%
CWE: CWE-653
KEV Durumu: Hayır

Yayım tarihi: 2 Kasım 2026

Apache Syncope'de uygun olmayan izolasyon veya bölümlendirme zafiyeti mevcuttur. Yeterli yetkilere sahip bir yönetici, Implementations için güvenilmeyen kodu ayrı bir Thread'de çalıştıran kötü niyetli bir Groovy sınıfı oluşturabilir, böylece Groovy güvenlik kumandasını atlatır. Bu sorun Apache Syncope'u etkiler: 3.0.0-M0'dan 3.0.16'ya, 4.0.0-M0'dan 4.0.8'e, 4.1.0-M0'dan 4.1.3'e kadar. Kullanıcıların bu sorunu düzelttiği 4.0.9 / 4.1.4 sürümüne yükseltmeleri önerilir.

Orijinal açıklama (İngilizce)

Improper isolation or compartmentalization vulnerability in Apache Syncope. An administrator with adequate entitlements for Implementations can create a malicious Groovy class running untrusted code on a separate Thread, thus bypassing the Groovy security sandbox. This issue affects Apache Syncope: from 3.0.0-M0 through 3.0.16, from 4.0.0-M0 through 4.0.8, from 4.1.0-M0 through 4.1.3. Users are recommended to upgrade to version 4.0.9 / 4.1.4, which fix this issue.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.