CVE-2025-15621
ŚrednieCVSS 6.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
W produkcie Sparx Enterprise Architect firmy Sparx Systems Pty Ltd. wykryto podatność polegającą na niewystarczającej ochronie poświadczeń. Klient nie weryfikuje odbiorcy poświadczeń OAuth2 podczas uwierzytelniania OpenID.
Ocena ryzyka
Atakujący może przechwycić poświadczenia OAuth2, co może prowadzić do nieautoryzowanego dostępu do systemu i danych użytkownika.
Rekomendacja
Zaleca się aktualizację Sparx Enterprise Architect do wersji z poprawką oraz wdrożenie dodatkowych mechanizmów weryfikacji odbiorcy poświadczeń.
Inne podatności w Sparx Enterprise Architect
Zobacz wszystkie- CVE-2026-42098Wysokie
Oprogramowanie Sparx Enterprise Architect ma funkcję zabezpieczeń, która ogranicza działania użytkownika do tych określonych w roli. Zautoryzowany atakujący może zmodyfikować zachowanie klienta Enterprise Architect i zalogować się jako inny użytkownik lub administrator, co pozwala na wprowadzenie dowolnych zmian w repozytorium.
- CVE-2025-15622Średnie
Podatność w Sparx Enterprise Architect polega na niewystarczającej ochronie danych uwierzytelniających. Klient ujawnia tajny klucz klienta OAuth2 w postaci jawnej, dekodując go i używając do wymiany na tokeny dostępu i identyfikacji w ramach przepływu OpenID.
Oryginalny opis (angielski, źródło NVD)
Insufficiently Protected Credentials in Sparx Systems Pty Ltd. Sparx Enterprise Architect. Client does not verify the receiver of OAuth2 credentials during OpenID authentication
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS