JVNDB-2026-025584

Apache Software FoundationのApache Syncopeにおける隔離または分類に関する脆弱性

Apache Syncopeにおける不適切な分離または区画化の脆弱性があります。適切な権限を持つ管理者はREST APIを通じて任意のBPMNプロセス定義をインポートし、そのプロセスを開始できます。GroovyのscriptTaskを含むBPMNプロセスがインポートされて開始されると、そのGroovyスクリプトはサンドボックスなしでサーバー上で直接実行されます。この問題はApache Syncopeの以下のバージョンに影響を与えます：3.0.0-M0から3.0.16まで、4.0.0-M0から4.0.6まで、4.1.0-M0から4.1.1までです。ユーザーには、この問題を修正するために、FlowableのGroovy scriptTaskをセキュリティサンドボックスでラップしたバージョン4.0.7および4.1.2へアップグレードすることを推奨します。

Apache Software Foundation

• Apache Syncope 3.0.0 から 3.0.16
• Apache Syncope 4.0.0 以上 4.0.7 未満
• Apache Syncope 4.1.0 以上 4.1.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-53405: Apache Syncope: Remote Code Execution via Flowable BPMN Groovy ScriptTask-Apache Mail Archives

Openwall

• Openwall : oss-security - CVE-2026-53405: Apache Syncope: Remote Code Execution via Flowable BPMN Groovy ScriptTask

1. 不適切な隔離または分類(CWE-653) [その他]

1. CVE-2026-53405

1. National Vulnerability Database (NVD) : CVE-2026-53405

• [2026年07月28日]
    掲載