Sparx Systems Enterprise Architect软件中的漏洞
CVE ID
CVE-2026-88794
Publication date
2026年10月15日
Vendor
Sparx Systems
Product
Enterprise Architect
Vulnerable versions
17.1
Vulnerability type (CWE)
不当限制XML外部实体引用 (CWE-611)
Report source
报告给CERT Polska
Description
CERT Polska已收到关于Sparx Systems Enterprise Architect软件漏洞的报告，并参与了其披露的协调工作。
该漏洞CVE-2026-88794：Enterprise Architect在XSLT调试器功能中易受XML外部实体（XXE）注入攻击。当用户加载一个包含外部文档类型定义（DTD）引用的DOCTYPE的精心构造的XML文件时，解析器会处理外部实体，允许攻击者从受害者的文件系统中读取任意文件。
由于与供应商的联系尝试未果，该漏洞仅在版本17.1中得到确认，但可能也影响其他版本。
Credits
我们感谢与TrendAI Zero Day Initiative合作的Hlib Yavorskyi提供的负责任的漏洞报告。
有关CERT Polska协调漏洞披露过程的更多信息，请访问https://cert.pl/en/cvd/。