CVE-2026-109083
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Apache Syncope (versions 3.0.0-M0 à 3.0.16, 4.0.0-M0 à 4.0.8, et 4.1.0 à 4.1.3) est un système de gestion d'identité utilisé pour gouverner l'accès et le provisionnement des utilisateurs. La faille réside dans la manière dont le système gère les définitions de processus BPMN importées via l'API REST. Plus précisément, le logiciel ne parvient pas à isoler les expressions JUEL contenues dans ces définitions, permettant ainsi leur exécution directe sur le serveur hôte.
Un attaquant disposant de privilèges d'administrateur peut exploiter cette vulnérabilité pour parvenir à une exécution de code à distance, lui octroyant un contrôle total sur l'intégrité, la confidentialité et la disponibilité du serveur. Cela nécessite un accès authentifié à l'API REST avec des droits suffisants pour importer et lancer des processus. Bien que l'impact soit sévère, cette faille ne peut pas être déclenchée par un utilisateur externe non authentifié.
RÉFÉRENCES
Description officielle du NVD (en anglais)
Improper isolation or compartmentalization vulnerability in Apache Syncope. An administrator with adequate entitlements can import arbitrary BPMN process definitions via the REST API and then start the process. When a BPMN process containing a JUEL expression is imported and started, the expression is executed directly on the server, with no sandbox. This issue affects Apache Syncope: from 3.0.0-M0 through 3.0.16, from 4.0.0-M0 through 4.0.8, from 4.1.0 through 4.1.3. Users are recommended to upgrade to version 4.0.9 / 4.1.4, which fix this issue by rejecting BPMN definitions including expression attributes.