Elin Kai

**Nome do Software Vulnerável e Versões Afetadas** Apache Syncope versões 3.0.0-M0 through 3.0.16 Apache Syncope versões 4.0.0-M0 through 4.0.6 Apache Syncope versões 4.1.0-M0 through 4.1.1 **Description** O gerenciamento inadequado de privilégios permite que um usuário escale privilégios para o nível de administrador. Isso ocorre quando o adaptador de fluxo de trabalho de usuário all-Java está configurado, ou o adaptador de fluxo de trabalho de usuário Flowable é utilizado com uma definição BPMN que não exige a aprovação do administrador para solicitações de auto-registro ou auto-atualização de usuário. Nessas configurações, uma chamada de API REST pode ser usada para conceder ao usuário uma ou mais Funções definidas, fornecendo-lhe os Direitos associados. **Recommendations** Atualizar as versões 3.0.0-M0 through 3.0.16 para a versão 4.0.7 Atualizar as versões 4.0.0-M0 through 4.0.6 para a versão 4.0.7 Atualizar as versões 4.1.0-M0 through 4.1.1 para a versão 4.1.2

**Nome do Software Vulnerável e Versões Afetadas** Apache Syncope versões 3.0.0-M0 through 3.0.16 Apache Syncope versões 4.0.0-M0 through 4.0.6 Apache Syncope versões 4.1.0-M0 through 4.1.1 **Description** O isolamento ou compartimentação inadequados permitem que um administrador com permissões para Implementações crie uma classe Groovy maliciosa. Isso possibilita a execução de código não confiável ao ignorar a sandbox de segurança do Groovy. **Recommendations** Atualize o Apache Syncope versões 3.0.0-M0 through 3.0.16 para a versão 4.0.7. Atualize o Apache Syncope versões 4.0.0-M0 through 4.0.6 para a versão 4.0.7. Atualize o Apache Syncope versões 4.1.0-M0 through 4.1.1 para a versão 4.1.2.

**Nome do Software Vulnerável e Versões Afetadas** Apache Syncope versões 3.0 até 3.0.16 Apache Syncope versões 4.0 até 4.0.5 Apache Syncope versão 4.1.0 **Descrição** Um administrador com permissões adequadas para Esquemas Derivados pode criar uma expressão JEXL (Java Expression Language) maliciosa. Isso permite que qualquer administrador com permissões suficientes de leitura de Usuário acesse informações sensíveis de segurança relacionadas aos usuários. **Recomendações** Para as versões 3.0 até 3.0.16, 4.0 até 4.0.5 e 4.1.0, atualize para a versão 4.0.6 ou 4.1.1.

**Nome do software vulnerável e versões afetadas** Versões do Apache HertzBeat anteriores à 1.6.1 **Descrição** Este problema está relacionado à desserialização de dados não confiáveis, podendo ser explorado apenas por invasores autorizados. O número estimado de dispositivos potencialmente afetados em todo o mundo não foi especificado. Não há informações sobre incidentes reais em que esse problema tenha sido explorado. **Recomendações** Para versões do Apache HertzBeat anteriores à 1.6.1, recomenda-se que os usuários atualizem para a versão 1.6.1, que corrige o problema.