Yll Berisha

Improper isolation or compartmentalization vulnerability in Apache Syncope. An administrator with adequate entitlements can import arbitrary BPMN process definitions via the REST API and then start the process. When a BPMN process containing a JUEL expression is imported and started, the expression is executed directly on the server, with no sandbox. This issue affects Apache Syncope: from 3.0.0-M0 through 3.0.16, from 4.0.0-M0 through 4.0.8, from 4.1.0 through 4.1.3. Users are recommended to upgrade to version 4.0.9 / 4.1.4, which fix this issue by rejecting BPMN definitions including expression attributes.

Atacantes autenticados com a função de Instrutor podem adicionar respostas a perguntas de questionários pertencentes a outros instrutores. Isso ocorre devido a uma verificação de propriedade e capacidade ausente no caminho de inserção de respostas de perguntas, permitindo que atacantes forneçam identificadores de perguntas arbitrários e ignorem as restrições de limite do instrutor para modificar persistentemente o conteúdo do questionário em cursos que não possuem.

Atacantes autenticados com a função de Instrutor podem realizar um ataque de cross-site scripting armazenado ao enviar entradas não sanitizadas nos campos de título de resposta de perguntas de questionário. O problema ocorre porque o parâmetro `answer title` é renderizado através de um sumidouro HTML não escapado, permitindo que JavaScript arbitrário seja armazenado e executado nos navegadores de usuários que visualizam a pergunta do questionário afetada, incluindo alunos, outros instrutores e administradores.