CVE-2026-62183

सारांश

Apache Syncope में अनुचित विशेषाधिकार प्रबंधन (Improper Privilege Management) भेद्यता। जब: * सभी-Java उपयोगकर्ता वर्कफ़्लो एडाप्टर कॉन्फ़िगर किया गया हो, या * Flowable उपयोगकर्ता वर्कफ़्लो एडाप्टर कॉन्फ़िगर किया गया हो, जिसमें BPMN परिभाषा हो जो उपयोगकर्ता स्व-पंजीकरण या स्व-अद्यतन अनुरोधों के लिए व्यवस्थापक अनुमोदन की आवश्यकता नहीं रखती, तो निम्नलिखित परिदृश्य घटित हो सकता है। एक REST API कॉल उपयोगकर्ता को स्वयं को एक या अधिक परिभाषित Roles प्रदान करने की अनुमति दे सकती है, जिससे उन्हें उनकी Entitlements प्राप्त हो जाती हैं और वे वास्तव में एक व्यवस्थापक बन जाते हैं; वास्तव में प्राप्त Entitlements उन Roles पर निर्भर करती हैं जो विशिष्ट Syncope तैनाती पर प्रभावी रूप से परिभाषित हैं। यह समस्या Apache Syncope को प्रभावित करती है: 3.0.0-M0 से 3.0.16 तक, 4.0.0-M0 से 4.0.6 तक, 4.1.0-M0 से 4.1.1 तक। उपयोगकर्ताओं को संस्करण 4.0.7 / 4.1.2 में अपग्रेड करने की अनुशंसा की जाती है, जो इस समस्या को ठीक करते हैं।

• CVE-2026-62183PoC

  Apache Syncope: उपयोगकर्ता स्व-सेवा विशेषाधिकार वृद्धि