Apache Syncope修复高危登录跨站脚本及外部实体注入漏洞

阿帕奇软件基金会针对旗下开源数字身份管理核心系统Apache Syncope，发布了重要安全更新。此次补丁修复了两类不同的漏洞，这两类漏洞均可被攻击者利用，实现劫持用户会话或泄露服务器敏感数据的恶意操作。

其中危害更为严重的漏洞编号为CVE-2026-23794，这是一个存在于终端用户登录页面的反射型跨站脚本（XSS）漏洞，危险等级被评定为 “重要”。而登录页面恰恰是用户进入身份管理系统的第一道入口。

安全公告指出，该漏洞是一个典型的攻击陷阱：“攻击者诱骗合法用户点击特制链接后，即可在该用户的浏览器中执行任意 JavaScript 代码”。

一旦攻击成功，黑客就能窃取用户的会话 Cookie、将用户重定向至恶意网站，或是在用户不知情的情况下以其名义执行各类操作。由于漏洞直接影响登录页面，它会在用户身份认证的关键环节，对用户会话的安全性构成重大威胁。

另一项漏洞编号为CVE-2026-23795，危险等级为 “中等”，但针对特权用户的攻击场景十分危险。这是一个存在于控制台组件内、具体位于密钥管理器参数模块的XML 外部实体注入（XXE）漏洞。

该漏洞的利用门槛相对更高：攻击者必须是 “拥有足够权限，能够创建或编辑密钥管理器参数的管理员”。

但如果是恶意管理员，或是管理员账户已遭攻击者攻陷，此人就可以“构造恶意 XML 文本发起 XXE 攻击，进而造成敏感数据泄露”。借助这种方式，攻击者可强制服务器泄露内部文件，或是与本不应访问的外部系统建立交互。

项目维护团队敦促所有用户，立即将自身的 Apache Syncope 部署版本升级至最新的安全版本：

此次更新会对 syncope-client-idrepo-common-ui 和 syncope-client-idrepo-console 两个组件进行补丁修复，能够彻底消除登录页面 XSS 攻击陷阱与 XXE 数据泄露这两类风险。