Cyber ·
CVE-2026-114364: injeção de SQL no Apache Syncope pela busca de eventos de auditoria
Falha de injeção de SQL no Apache Syncope permite que um administrador com permissões adequadas execute SQL arbitrário. O aviso, publicado em 2 de novembro de 2026, classifica a gravidade como importante e aponta que uma correção anterior, a CVE-2026-77051, ficou incompleta.
Radar registra o aviso CVE-2026-114364, divulgado em 2 de novembro de 2026 pelo feed oss-sec e publicado por Francesco Chicchiriccò. A falha é de injeção de SQL: o campo opEvent não é sanitizado na busca de eventos de auditoria do Apache Syncope, e um administrador com permissões adequadas pode executar SQL arbitrário. A gravidade informada é importante. As versões afetadas são Apache Syncope 3.0.0-M0 até 3.0.16, 4.0.0-M0 até 4.0.8 e 4.1.0-M0 até 4.1.3. O aviso também informa que esta CVE cobre uma correção incompleta da CVE-2026-77051. Para verificar, consulte o texto original no arquivo público da lista oss-sec e a página de segurança do projeto Apache Syncope, confirmando a versão instalada e a faixa afetada. A relevância para a Rota Nacional é indireta: a plataforma não corrige nem hospeda o Syncope, e este aviso não descreve nenhum recurso da Rota. Se a sua organização usa o Syncope para gestão de identidades, atualize para uma versão corrigida assim que o projeto indicar, revise permissões administrativas e registros de auditoria.