CVE-2026-62183
Apache Syncope: تصعيد صلاحيات الخدمة الذاتية للمستخدم
- تم النشر
- 20/07/2026
- محدث
- 21/07/2026
- تخصيص CNA
- apache
- الأدلة المرصودة
- 28/08/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hمنخفض · الثلاثين يومًا القادمة
- المئوية
- 51.8%
- تاريخ الموديل
- 15/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
ثغرة إدارة امتيازات غير سليمة في Apache Syncope. عند: * تكوين محوّل سير عمل المستخدم القائم على Java بالكامل، أو * تكوين محوّل سير عمل المستخدم Flowable، مع تعريف BPMN لا يتطلب موافقة المسؤول على تسجيل المستخدم الذاتي أو طلبات التحديث الذاتي، قد يحدث السيناريو التالي. يمكن لاستدعاء REST API أن يسمح للمستخدم بمنح نفسه واحدًا أو أكثر من الأدوار المعرّفة، وبالتالي الحصول على صلاحياتها (Entitlements) ويصبح في الواقع مسؤولًا؛ وتعتمد الصلاحيات الفعلية المكتسبة على الأدوار المعرّفة فعليًا في نشر Syncope المحدد. تؤثر هذه الثغرة على Apache Syncope: من 3.0.0-M0 حتى 3.0.16، ومن 4.0.0-M0 حتى 4.0.6، ومن 4.1.0-M0 حتى 4.1.1. يُنصح المستخدمون بالترقية إلى الإصدار 4.0.7 / 4.1.2، الذي يعمل على إصلاح هذه الثغرة.
المصادر
Apache Syncope: تصعيد امتيازات الخدمة الذاتية للمستخدمين
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.