CVE-2026-42098
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Oprogramowanie Sparx Enterprise Architect ma funkcję zabezpieczeń, która ogranicza działania użytkownika do tych określonych w roli. Zautoryzowany atakujący może zmodyfikować zachowanie klienta Enterprise Architect i zalogować się jako inny użytkownik lub administrator, co pozwala na wprowadzenie dowolnych zmian w repozytorium.
Ocena ryzyka
Atakujący może uzyskać pełny dostęp do repozytorium, co stwarza poważne zagrożenie dla integralności danych i bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji oprogramowania oraz monitorowanie dostępu użytkowników w celu wykrycia nieautoryzowanych działań.
Inne podatności w Sparx Enterprise Architect
Zobacz wszystkie- CVE-2025-15622Średnie
Podatność w Sparx Enterprise Architect polega na niewystarczającej ochronie danych uwierzytelniających. Klient ujawnia tajny klucz klienta OAuth2 w postaci jawnej, dekodując go i używając do wymiany na tokeny dostępu i identyfikacji w ramach przepływu OpenID.
- CVE-2025-15621Średnie
W produkcie Sparx Enterprise Architect firmy Sparx Systems Pty Ltd. wykryto podatność polegającą na niewystarczającej ochronie poświadczeń. Klient nie weryfikuje odbiorcy poświadczeń OAuth2 podczas uwierzytelniania OpenID.
Oryginalny opis (angielski, źródło NVD)
Sparx Enterprise Architect software has a security feature that limits user's actions to those specified in the role. An authenticated attacker can modify the Enterprise Architect client behavior (e.g. using a debugger) and log in as any other user or administrator - then it is possible to do every possible change to the repository. The vendor was notified early about this vulnerability, but didn't respond with the details of vulnerability or vulnerable version range. Only version 17.1 and below were tested and confirmed as vulnerable, other versions were not tested and might also be vulnerable.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS