Opis podatności
CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu Sparx Systems Enterprise Architect i koordynował proces ujawniania informacji.
Podatność CVE-2026-88794: Enterprise Architect jest podatny na XML External Entity (XXE) injection w funkcjonalności XSLT Debugger. Gdy użytkownik wczytuje spreparowany plik XML zawierający DOCTYPE z odwołaniem do zewnętrznego Document Type Definition (DTD), parser przetwarza encje zewnętrzne, co umożliwia atakującemu odczytanie dowolnych plików z systemu plików ofiary.
Ze względu na brak skutecznego kontaktu z producentem, podatność została potwierdzona jedynie w wersji 17.1, ale może ona dotyczyć również innych wersji.
Podziękowania
Dziękujemy za zgłoszenie podatności, którego dokonał Hlib Yavorskyi z zespołu TrendAI Zero Day Initiative.
