JVNDB-2026-025442

Apache Software FoundationのApache Syncopeにおける権限管理に関する脆弱性

Apache Syncopeにおける不適切な権限管理の脆弱性です。以下の場合に発生します。* all-Javaユーザーワークフローアダプターが構成されている場合、または* Flowableユーザーワークフローアダプターが構成されており、BPMN定義がユーザーの自己登録や自己更新リクエストに対して管理者承認を必要としない場合には、次のようなシナリオが発生する可能性があります。REST APIコールにより、ユーザーが自分自身に1つ以上の定義済みロールを付与でき、それにより権限を獲得して実質的に管理者になることが可能です。実際に獲得される権限は、特定のSyncope展開環境で定義されているロールによって異なります。この問題は、Apache Syncopeのバージョン3.0.0-M0から3.0.16、4.0.0-M0から4.0.6、4.1.0-M0から4.1.1に影響します。ユーザーには、この問題を修正したバージョン4.0.7または4.1.2にアップグレードすることを推奨します。

Apache Software Foundation

• Apache Syncope 3.0.0 から 3.0.16
• Apache Syncope 4.0.0 以上 4.0.7 未満
• Apache Syncope 4.1.0 以上 4.1.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-62183: Apache Syncope: User self-service privilege escalation-Apache Mail Archives

Openwall

• Openwall : oss-security - CVE-2026-62183: Apache Syncope: User self-service privilege escalation

1. 不適切な権限管理(CWE-269) [その他]

1. CVE-2026-62183

1. National Vulnerability Database (NVD) : CVE-2026-62183

• [2026年07月28日]
    掲載