Cyber ·
CVE-2026-113511: administração delegada do Apache Syncope pode contornar limites de Realm
Aviso de segurança sobre o Apache Syncope: um administrador delegado pode mover uma subárvore de Realm para além dos limites administrativos sem autorização para o destino. Gravidade informada: importante.
O aviso, publicado em 02 de novembro de 2026 a partir do feed oss-sec, descreve a CVE-2026-113511 no Apache Syncope. Segundo o texto, um administrador delegado consegue realocar uma subárvore de Realm para além dos limites administrativos, sem permissão para o destino. A gravidade informada é importante. A falha é classificada como contorno de autorização por meio de chave controlada pelo usuário.
As versões indicadas como afetadas são 3.0.0-M0 até 3.0.16, 4.0.0-M0 até 4.0.8 e 4.1.0-M0 até 4.1.3. O texto recebido é uma tradução automática e está truncado no trecho sobre o alcance exato, por isso a lista de versões e as versões corrigidas devem ser confirmadas no aviso original do projeto. A fonte não informa exploração ativa nem correção publicada.
Para verificar, compare a versão do Apache Syncope em uso com a lista acima, consulte o aviso original e as notas de release do projeto antes de qualquer decisão.
Relevância para a Rota Nacional: trata-se de um problema de controle de acesso em sistema de gestão de identidades, e a Rota Nacional não corrige nem substitui esse software. Se sua equipe usar IA para estudar o aviso, não cole credenciais, configurações reais ou dados pessoais. A plataforma detecta CPF, CNPJ, e-mail, telefone e nomes antes de qualquer modelo rodar e aplica a política da organização, com marcadores, remoção ou bloqueio.