CVE-2026-62183
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- 0.7%
- CWE
- CWE-269
- KEV Durumu
- Hayır
Yayım tarihi: 20 Temmuz 2026
Etkilenen: apache syncope
Improper Privilege Management zafiyeti Apache Syncope'te mevcuttur. Aşağıdaki durumlar gerçekleşirse: * tüm Java kullanıcı iş akışı adaptörü yapılandırılmışsa veya * Flowable kullanıcı iş akışı adaptörü yapılandırılmış ve kullanıcı self kayıt veya self güncelleme talepleri için yönetici onayını gerektirmeyen bir BPMN tanımı taşıyorsa aşağıdaki senaryo gerçekleşebilir. Bir REST API çağrısı, kullanıcıya tanımlı Rollerden birini veya birden fazlasını kendilerine atamak ve böylece Entitlements kazanmak ve aslında yönetici haline gelmek için izin verebilir; kazanılan gerçek Entitlements, belirli Syncope dağıtımında etkili bir şekilde tanımlanan Rollere bağlıdır. Bu sorun Apache Syncope'ü etkiler: 3.0.0-M0'dan 3.0.16'ya, 4.0.0-M0'dan 4.0.6'ya, 4.1.0-M0'dan 4.1.1'e kadar. Kullanıcıların bu sorunu çözen 4.0.7 / 4.1.2 sürümüne yükseltmeleri önerilir.
Orijinal açıklama (İngilizce)
Improper Privilege Management vulnerability in Apache Syncope. When: * the all-Java user workflow adapter is configured, or * the Flowable user workflow adapter is configured, bearing a BPMN definition not requiring admin approval for user self registration of self update requests the following scenario could happen. A REST API call can allow the user to grant themselves one or more of defined Roles, thus gaining their Entitlements and becoming in fact an administrator; the actual Entitlements gained depend on the Roles that are effectively defined on the specific Syncope deployment. This issue affects Apache Syncope: from 3.0.0-M0 through 3.0.16, from 4.0.0-M0 Through 4.0.6, from 4.1.0-M0 through 4.1.1. Users are recommended to upgrade to version 4.0.7 / 4.1.2, which fix this issue.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.