Apache Syncope 权限许可和访问控制问题漏洞

基本信息

漏洞ID：
漏洞类型：权限许可和访问控制问题
发布日期：2026-07-20 00:00:00
更新时间：2026-07-21 00:00:00
CVE编号：CVE-2026-53405
CNNVD-ID：CNNVD-2026-83274376
漏洞平台：
CVSS评分：

漏洞来源

暂无

漏洞详情

Apache syncope是美国Apache基金会开源的一套身份管理自动化工具。 Apache Syncope 3.0.0-M0至3.0.16版本、4.0.0-M0至4.0.6版本、4.1.0-M0至4.1.1版本存在权限许可和访问控制问题漏洞，该漏洞源于隔离或分区化不当，管理员可通过REST API导入任意BPMN流程定义并启动，当包含Groovy scriptTask的BPMN流程被导入和启动时，Groovy脚本直接在服务器上执行且没有沙箱保护。

参考资料

链接:https://lists.apache.org/thread/vdq0tk6ylffz6trbgbllj9kb1ndzff7k 链接:http://www.openwall.com/lists/oss-security/2026/07/20/6