CVE-2026-62183
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 53 - wyżej niż 53% wszystkich znanych CVE
Streszczenie
W Apache Syncope wykryto podatność polegającą na nieprawidłowym zarządzaniu uprawnieniami. Użytkownik może poprzez wywołanie REST API samodzielnie nadać sobie role administratora, uzyskując tym samym pełną kontrolę nad systemem. Problem dotyczy wersji od 3.0.0-M0 do 3.0.16, od 4.0.0-M0 do 4.0.6 oraz od 4.1.0-M0 do 4.1.1.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowane podniesienie uprawnień przez zwykłego użytkownika, co może prowadzić do przejęcia administracyjnej kontroli nad systemem Syncope i naruszenia poufności oraz integralności danych.
Rekomendacja
Należy niezwłocznie zaktualizować Apache Syncope do wersji 4.0.7 lub 4.1.2, które zawierają poprawkę eliminującą tę podatność.
Inne podatności w Apache Syncope
Zobacz wszystkie- CVE-2026-114364Nieznane
Apache Syncope zawiera niepełną poprawkę dla CVE-2026-77051 — podatność na wstrzyknięcie SQL (SQL injection) poprzez nieoczyszczone parametry opEvent. Administrator z odpowiednimi uprawnieniami może wykonać dowolny SQL za pomocą zapytań złożonych (stacked queries).
- CVE-2026-113687Nieznane
Apache Syncope ma podatność związaną z niewłaściwą izolacją (compartmentalization). Administrator z odpowiednimi uprawnieniami do Implementations może utworzyć złośliwą klasę Groovy uruchamiającą niezaufany kod w osobnym wątku, omijając piaskownicę bezpieczeństwa Groovy.
- CVE-2026-113511Nieznane
Apache Syncope ma podatność na obejście autoryzacji poprzez klucz kontrolowany przez użytkownika. Delegowany administrator może przenieść poddrzewo Realm poza granice administracyjne bez uprawnień do miejsca docelowego.
- CVE-2026-110535Nieznane
Apache Syncope ma podatność związaną z niewłaściwym zarządzaniem uprawnieniami. Samodzielna aktualizacja AuthProfile pozwala użytkownikom niebędącym administratorami skonfigurować podszywanie się (impersonation) dla uwierzytelniania zastępczego WA.
- CVE-2026-109083Nieznane
Apache Syncope ma podatność związaną z niewłaściwą izolacją. Administrator z odpowiednimi uprawnieniami może zaimportować dowolną definicję procesu BPMN przez REST API, a następnie uruchomić proces; wyrażenie JUEL w procesie jest wykonywane bezpośrednio na serwerze bez piaskownicy.
- CVE-2026-73370Krytyczne
Podatność niepoprawnej autoryzacji w Apache Syncope dotyczy usługi Reconciliation (pull i push). Ze względu na niekompletne sprawdzenia bezpieczeństwa delegowanej administracji, wywołania od administratorów bez odpowiednich uprawnień mogą zostać zaakceptowane, co pozwala na niedozwolone działania.
- CVE-2026-78330Krytyczne
Podatność nieprawidłowego przypisania uprawnień w Apache Syncope. Gdy ujawnione zostaną ustawienia JWKS dla wewnętrznego uwierzytelniania JWT (przynajmniej protokół i klucz), atakujący po pomyślnym uwierzytelnieniu i uzyskaniu ważnego JWT z niskimi uprawnieniami może uzyskać uprawnienia administratora.
- CVE-2026-77181Krytyczne
W Apache Syncope występuje luka nieprawidłowej autoryzacji. Administrator posiadający uprawnienie do aktualizacji ClientApp nie może wykonać powiązanej operacji, natomiast uprawnienie do tworzenia ClientApp jest sprawdzane zarówno dla operacji tworzenia, jak i aktualizacji.
- CVE-2026-77051Krytyczne
W Apache Syncope występuje luka SQL Injection wynikająca z niewłaściwej neutralizacji specjalnych elementów w zapytaniach SQL. Administrator z odpowiednimi uprawnieniami może wykonać dowolny kod SQL poprzez zapytania złożone, wykorzystując nieoczyszczone parametry entityKey i opEvent.
- CVE-2026-75030Krytyczne
W Apache Syncope występuje luka braku autoryzacji. Administrator posiadający uprawnienia do wykonywania zadań może masowo tworzyć lub usuwać członkostwa w grupach, niezależnie od swoich uprawnień administracyjnych związanych z grupami.
Oryginalny opis (angielski, źródło NVD)
Improper Privilege Management vulnerability in Apache Syncope. When: * the all-Java user workflow adapter is configured, or * the Flowable user workflow adapter is configured, bearing a BPMN definition not requiring admin approval for user self registration of self update requests the following scenario could happen. A REST API call can allow the user to grant themselves one or more of defined Roles, thus gaining their Entitlements and becoming in fact an administrator; the actual Entitlements gained depend on the Roles that are effectively defined on the specific Syncope deployment. This issue affects Apache Syncope: from 3.0.0-M0 through 3.0.16, from 4.0.0-M0 Through 4.0.6, from 4.1.0-M0 through 4.1.1. Users are recommended to upgrade to version 4.0.7 / 4.1.2, which fix this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS