| CVE ID | CVE-2026-88794 |
| Data publikacji | 15 października 2026 |
| Producent podatnego oprogramowania | Sparx Systems |
| Nazwa podatnego oprogramowania | Enterprise Architect |
| Podatne wersje | 17.1 |
| Typ podatności (CWE) | Improper restriction of XML external entity reference (CWE-611) |
| Źródło zgłoszenia | Zgłoszenie do CERT Polska |
Opis podatności
CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu Sparx Systems Enterprise Architect i koordynował proces ujawniania informacji.
Podatność CVE-2026-88794: Enterprise Architect jest podatny na XML External Entity (XXE) injection w funkcjonalności XSLT Debugger. Gdy użytkownik wczytuje spreparowany plik XML zawierający DOCTYPE z odwołaniem do zewnętrznego Document Type Definition (DTD), parser przetwarza encje zewnętrzne, co umożliwia atakującemu odczytanie dowolnych plików z systemu plików ofiary.
Ze względu na brak skutecznego kontaktu z producentem, podatność została potwierdzona jedynie w wersji 17.1, ale może ona dotyczyć również innych wersji.
Podziękowania
Dziękujemy za zgłoszenie podatności, którego dokonał Hlib Yavorskyi z zespołu TrendAI Zero Day Initiative.
Więcej o procesie zgłaszania podatności można przeczytać na stronie https://cert.pl/cvd/.