CVE-2026-73178

Schwachstelle durch Offenlegung sensibler Informationen an einen nicht autorisierten Akteur in Apache Syncope. Ein Administrator mit ausreichenden Berechtigungen kann über REST auf die Liste der vorhandenen Access Tokens einschließlich ihres signierten JWT-Bodys zugreifen. Diese Werte können anschließend verwendet werden, um weitere REST-Anfragen auszuführen und sich als Benutzer mit höheren Administrationsberechtigungen auszugeben. Dieses Problem betrifft Apache Syncope: von 3.0.0-M0 bis einschließlich 3.0.16, von 4.0.0-M0 bis einschließlich 4.0.7, von 4.1.0-M0 bis einschließlich 4.1.2. Benutzern wird empfohlen, auf Version 4.0.8 / 4.1.3 zu aktualisieren, die dieses Problem beheben.