PT-2026-43079 · Apache · Apache Syncope

Elin Kai · Publicado 2026-05-25 · Atualizado 2026-05-29 · CVE-2026-42797

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.9

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Apache Syncope versões 3.0 até 3.0.16 Apache Syncope versões 4.0 até 4.0.5 Apache Syncope versão 4.1.0

Descrição Um administrador com permissões adequadas para Esquemas Derivados pode criar uma expressão JEXL (Java Expression Language) maliciosa. Isso permite que qualquer administrador com permissões suficientes de leitura de Usuário acesse informações sensíveis de segurança relacionadas aos usuários.

Recomendações Para as versões 3.0 até 3.0.16, 4.0 até 4.0.5 e 4.1.0, atualize para a versão 4.0.6 ou 4.1.1.

Correção

Enumeração de Fraquezas

CWE-202

Identificadores relacionados

CVE-2026-42797

Produtos afetados

Apache Syncope

Referências · 7

• https://nvd.nist.gov/vuln/detail/CVE-2026-42797 · Nota de Segurança
• http://openwall.com/lists/oss-security/2026/05/25/5 · Nota
• https://twitter.com/oss_security/status/2059122685070721095 · Publicação no Twitter
• https://lists.apache.org/thread/5y7d277sntyytrmxnx2tfjr9ftcpq1s6 · Aviso do Fabricante
• https://twitter.com/dailycve/status/2060188586087989513 · Publicação no Twitter
• https://t.me/cveNotify/164757 · Publicação no Telegram
• https://t.me/CVEtracker/54882 · Publicação no Telegram