CVE-2025-57738

Apache Syncope hər bir tətbiqdə bəzi Java interfeyslərinin fərdiləşdirilmiş implementasiyalarının təqdim edilməsinə icazə verməklə əsas davranışın genişləndirilməsi və ya fərdiləşdirilməsi imkanını təklif edir; belə implementasiyalar Java və ya Groovy klasları kimi təqdim edilə bilər, burada sonuncu variant iş vaxtı yenidən yükləmə mexanizmi olduğu üçün xüsusilə cəlbedicidir. Bu funksiya uzun müddətdir mövcuddur, lakin bu yaxınlarda bəlli oldu ki, zərərli administrator işlək Apache Syncope Core instansiyası tərəfindən uzaqdan icra oluna bilən Groovy kodunu inyeksiya edə bilər. İstifadəçilərə Groovy kodunun sandbox-da işləməsini məcburi etməklə bu problemi həll edən 3.0.14 / 4.0.2 versiyasına yüksəltmə etmək tövsiyə olunur.