Уязвимость в программном обеспечении Sparx Systems Enterprise Architect
CVE ID
CVE-2026-88794
Дата публикации
15 октября 2026
Поставщик
Sparx Systems
Продукт
Enterprise Architect
Уязвимые версии
17.1
Тип уязвимости (CWE)
Неправильное ограничение ссылки на внешние сущности XML (CWE-611)
Источник отчета
Отчет в CERT Polska
Описание
CERT Polska получил отчет об уязвимости в программном обеспечении Sparx Systems Enterprise Architect и участвовал в координации ее раскрытия.
Уязвимость CVE-2026-88794: Enterprise Architect уязвим для инъекции XML External Entity (XXE) в функции отладчика XSLT. Когда пользователь загружает подготовленный XML-файл, содержащий DOCTYPE с ссылкой на внешнее определение типа документа (DTD), парсер обрабатывает внешние сущности, позволяя злоумышленнику читать произвольные файлы из файловой системы жертвы.
Поскольку попытки связаться с поставщиком оказались неудачными, уязвимость была подтверждена только в версии 17.1, но также может затрагивать и другие версии.
Кредиты
Мы благодарим Хлиба Яворского, работающего с TrendAI Zero Day Initiative, за ответственный отчет об уязвимости.
Больше информации о процессе координированного раскрытия уязвимостей в CERT Polska можно найти на сайте https://cert.pl/en/cvd/.