JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-025584 Apache Syncopeにおける不適切な分離または区画化の脆弱性があります。適切な権限を持つ管理者はREST APIを通じて任意のBPMNプロセス定義をインポートし、そのプロセスを開始できます。GroovyのscriptTaskを含むBPMNプロセスがインポートされて開始されると、そのGroovyスクリプトはサンドボックスなしでサーバー上で直接実行されます。この問題はApache Syncopeの以下のバージョンに影響を与えます：3.0.0-M0から3.0.16まで、4.0.0-M0から4.0.6まで、4.1.0-M0から4.1.1までです。ユーザーには、この問題を修正するために、FlowableのGroovy scriptTaskをセキュリティサンドボックスでラップしたバージョン4.0.7および4.1.2へアップグレードすることを推奨します。 cpe:/a:apache:syncope https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-025584.html Common Vulnerabilities and Exposures (CVE) CVE-2026-53405 https://www.cve.org/CVERecord?id=CVE-2026-53405 National Vulnerability Database (NVD) CVE-2026-53405 https://nvd.nist.gov/vuln/detail/CVE-2026-53405 Pony Mail CVE-2026-53405: Apache Syncope: Remote Code Execution via Flowable BPMN Groovy ScriptTask-Apache Mail Archives https://lists.apache.org/thread/vdq0tk6ylffz6trbgbllj9kb1ndzff7k JVNDB CWE-653 https://cwe.mitre.org/data/definitions/653.html Openwall oss-security - CVE-2026-53405: Apache Syncope: Remote Code Execution via Flowable BPMN Groovy ScriptTask http://www.openwall.com/lists/oss-security/2026/07/20/6 2026-07-28T18:11:21+09:00 2026-07-28T18:11:21+09:00