CVE-2026-42797
Publiée le 2026-05-25 · Dernière modification le 2026-07-24
Les utilisateurs d'Apache Syncope utilisant les versions concernées sont exposés à une fuite d'informations impliquant des données de sécurité liées aux utilisateurs. Un administrateur disposant des permissions nécessaires pour créer des schémas dérivés peut concevoir une expression JEXL malveillante permettant à tout administrateur disposant d'un accès de lecture utilisateur basique de consulter des informations sensibles. Cette attaque est facile à exécuter via le réseau, mais nécessite des privilèges administratifs de haut niveau pour être mise en place.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Exposure of Sensitive Information Through Data Queries vulnerability in Apache Syncope. An administrator with adequate entitlements for Derived Schemas can create a malicious JEXL expression which allows any administrator with sufficient entitlements for User read to access User-related security-sensitive information. This issue affects Apache Syncope: 3.0 through 3.0.16, 4.0 through 4.0.5, 4.1.0. Users are recommended to upgrade to version 4.0.6 / 4.1.1, which fix this issue by further restricting the JEXL expression definition.