Cyber ·
CVE-2026-113687: execução remota de código no Apache Syncope via contorno do sandbox Groovy
Aviso de 2 de novembro de 2026 sobre falha de gravidade importante no Apache Syncope: um administrador com permissões adequadas pode executar código não confiável fora do sandbox Groovy.
Segundo o texto público repassado pelo feed oss-sec em 2 de novembro de 2026, a vulnerabilidade CVE-2026-113687 afeta o Apache Syncope e tem gravidade classificada como importante. As versões afetadas são da 3.0.0-M0 até a 3.0.16, da 4.0.0-M0 até a 4.0.8 e da 4.1.0-M0 até a 4.1.3. Segundo a descrição, um administrador com permissões adequadas para Implementations pode criar uma classe Groovy maliciosa que executa código não confiável em uma thread separada, contornando o sandbox de segurança do Groovy. O texto recebido está truncado, por isso as recomendações de correção e mitigação devem ser conferidas na fonte oficial. O caso mostra que um sandbox não substitui a restrição de quem pode cadastrar código e a separação de privilégios administrativos. Para verificar, consulte o aviso original indicado no feed oss-sec, confirme se sua instalação usa alguma das versões listadas e acompanhe o comunicado do projeto Apache sobre a versão corrigida.