CVE-2026-110535

Apache Syncope est un système de gestion des identités utilisé pour administrer les utilisateurs, les rôles et les permissions au sein d'une entreprise. Les versions 3.0.12 à 3.0.16, 4.0.0-M0 à 4.0.8 et 4.1.0-M0 à 4.1.3 contiennent une faille dans la manière dont le logiciel gère les mises à jour autonomes des profils d'utilisateurs. Cela permet à un utilisateur standard de modifier les paramètres de son propre compte pour activer l'usurpation d'identité via l'authentification par substitution.

Un attaquant disposant d'un compte utilisateur standard, sans privilèges administratifs, peut exploiter cette faille pour agir en tant qu'un autre utilisateur au sein du système. Cela compromet l'intégrité et la confidentialité de la plateforme, car l'attaquant peut obtenir un accès non autorisé à des données ou effectuer des actions au nom de tiers. L'exploitation est relativement simple à exécuter car elle ne nécessite qu'un accès réseau authentifié basique et aucun privilège particulier.