Cyber ·
CVE-2026-109083: execução remota de código no Apache Syncope por expressão JUEL do Flowable
Aviso de gravidade moderada publicado em 2 de novembro de 2026 no feed oss-sec: um administrador com permissões adequadas pode importar definições BPMN com expressão JUEL no Apache Syncope via API REST e iniciar o processo, levando à execução remota de código.
O aviso CVE-2026-109083 descreve uma falha de isolamento ou compartimentalização inadequados no Apache Syncope. Segundo o texto disponível, um administrador com permissões adequadas pode importar definições arbitrárias de processos BPMN pela API REST e, em seguida, iniciar o processo. Quando o processo contém uma expressão JUEL, proveniente do motor Flowable, a expressão pode ser avaliada, resultando em execução remota de código. A gravidade informada é moderada. As versões afetadas listadas são Apache Syncope 3.0.0-M0 até 3.0.16, 4.0.0-M0 até 4.0.8 e 4.1.0 até 4.1.3. O conteúdo foi publicado no feed oss-sec por Francesco Chicchiriccò em 2 de novembro de 2026 e é uma tradução automática; o trecho disponível está truncado e não informa a versão corrigida. Para a organização, a relevância está no controle de privilégios: quem pode importar processos pela API deve ser tratado como potencial vetor de execução de código. A Rota Nacional não descreve esta falha como recurso próprio e não afirma resolvê-la. Para verificar, consulte o aviso original no feed oss-sec e a documentação oficial do projeto Apache Syncope, confirme a versão instalada e a versão corrigida indicada pelo fabricante.