آسیب‌پذیری در نرم‌افزار Sparx Systems Enterprise Architect
CVE ID
CVE-2026-88794
تاریخ انتشار
15 اکتبر 2026
فروشنده
Sparx Systems
محصول
Enterprise Architect
نسخه‌های آسیب‌پذیر
17.1
نوع آسیب‌پذیری (CWE)
محدودیت نادرست مرجع موجودیت خارجی XML (CWE-611)
منبع گزارش
گزارش به CERT Polska
توضیحات
CERT Polska گزارشی درباره آسیب‌پذیری در نرم‌افزار Sparx Systems Enterprise Architect دریافت کرده و در هماهنگی افشای آن شرکت کرده است.
آسیب‌پذیری CVE-2026-88794: Enterprise Architect در برابر تزریق موجودیت خارجی XML (XXE) در ویژگی XSLT Debugger آسیب‌پذیر است. هنگامی که یک کاربر یک فایل XML طراحی‌شده حاوی یک DOCTYPE با مرجع تعریف نوع سند خارجی (DTD) بارگذاری می‌کند، تجزیه‌گر موجودیت‌های خارجی را پردازش می‌کند و به یک مهاجم اجازه می‌دهد تا فایل‌های دلخواه را از سیستم فایل قربانی بخواند.
به دلیل ناموفق بودن تلاش‌های تماس با فروشنده، این آسیب‌پذیری تنها در نسخه 17.1 تأیید شده است اما ممکن است سایر نسخه‌ها را نیز تحت تأثیر قرار دهد.
اعتبارات
ما از Hlib Yavorskyi که با TrendAI Zero Day Initiative همکاری کرده است برای گزارش مسئولانه آسیب‌پذیری تشکر می‌کنیم.
اطلاعات بیشتر درباره فرآیند افشای هماهنگ آسیب‌پذیری در CERT Polska را می‌توانید در https://cert.pl/en/cvd/ پیدا کنید.