CVE-2025-15622
ŚrednieCVSS 6.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Podatność w Sparx Enterprise Architect polega na niewystarczającej ochronie danych uwierzytelniających. Klient ujawnia tajny klucz klienta OAuth2 w postaci jawnej, dekodując go i używając do wymiany na tokeny dostępu i identyfikacji w ramach przepływu OpenID.
Ocena ryzyka
Atakujący mogą przechwycić tajny klucz OAuth2 i uzyskać nieautoryzowany dostęp do chronionych zasobów. Może to prowadzić do naruszenia poufności i integralności danych organizacji.
Rekomendacja
Zaktualizuj Sparx Enterprise Architect do najnowszej wersji, która naprawia tę podatność. Rozważ wdrożenie dodatkowych mechanizmów ochrony sekretów, takich jak przechowywanie ich w bezpiecznym magazynie.
Inne podatności w Sparx Enterprise Architect
Zobacz wszystkie- CVE-2026-42098Wysokie
Oprogramowanie Sparx Enterprise Architect ma funkcję zabezpieczeń, która ogranicza działania użytkownika do tych określonych w roli. Zautoryzowany atakujący może zmodyfikować zachowanie klienta Enterprise Architect i zalogować się jako inny użytkownik lub administrator, co pozwala na wprowadzenie dowolnych zmian w repozytorium.
- CVE-2025-15621Średnie
W produkcie Sparx Enterprise Architect firmy Sparx Systems Pty Ltd. wykryto podatność polegającą na niewystarczającej ochronie poświadczeń. Klient nie weryfikuje odbiorcy poświadczeń OAuth2 podczas uwierzytelniania OpenID.
Oryginalny opis (angielski, źródło NVD)
Insufficiently Protected Credentials vulnerability in Sparx Systems Pty Ltd. Sparx Enterprise Architect. Client reveals plaintext OAuth2 client secretDesktop client decodes the secret and uses the plaintext secret to exchange it into an access and id tokens as part of the OpenID authentication flow.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS