Sparx Enterprise Architect Client प्रकट करता है सादा पाठ OAuth2 क्लाइंट सीक्रेट

Sparx Enterprise Architect में CVE-2025-15622 कमजोरियाँ OAuth2 क्रेडेंशियल्स के उजागर होने के कारण एक महत्वपूर्ण सुरक्षा जोखिम पैदा करती हैं। डेस्कटॉप क्लाइंट अनजाने में OAuth2 क्लाइंट सीक्रेट को सादे पाठ में उजागर करता है। इस सीक्रेट तक पहुँच रखने वाला एक हमलावर इसे डिकोड कर सकता है और एक्सेस और आईडी टोकन प्राप्त करने के लिए इसका उपयोग कर सकता है, जिससे OpenID प्रमाणीकरण प्रवाह की सुरक्षा से समझौता हो सकता है। यह हमलावर को संरक्षित संसाधनों तक पहुँचने, वैध उपयोगकर्ताओं के रूप में प्रतिरूपण करने और Enterprise Architect परिवेश में अनधिकृत क्रियाएँ करने की अनुमति दे सकता है। ज्ञात फिक्स की अनुपस्थिति स्थिति को बढ़ा देती है, जिसके लिए सावधानीपूर्वक मूल्यांकन और शमन की आवश्यकता होती है।

Organizations heavily reliant on Sparx Enterprise Architect for project management and collaboration, particularly those integrating it with other systems via OAuth2, are at increased risk. Environments where the desktop client is used by a large number of users or on shared devices are also more vulnerable.

1. 2026-04-17Disclosure

   disclosure

1. आरक्षित2026-04-09
2. प्रकाशित2026-04-17
3. EPSS अद्यतन2026-04-24

CVE-2025-15622 के लिए कोई आधिकारिक फिक्स उपलब्ध नहीं होने के कारण, Sparx Enterprise Architect का उपयोग करने वाले संगठनों को वैकल्पिक शमन उपायों को लागू करना चाहिए। इसमें डेस्कटॉप क्लाइंट तक पहुँच को सीमित करने के लिए नेटवर्क विभाजन, संदिग्ध पैटर्न के लिए नेटवर्क गतिविधि की गहन निगरानी और OAuth2 सीक्रेट को सादे पाठ में संग्रहीत या प्रसारित नहीं किया जाता है यह सुनिश्चित करने के लिए सुरक्षा प्रथाओं की समीक्षा करना शामिल है। Sparx Systems से संभावित भविष्य के समाधानों या पैच के बारे में जानकारी प्राप्त करने के लिए सीधे उनसे संपर्क करने की दृढ़ता से अनुशंसा की जाती है। इस बीच, यदि यह आवश्यक नहीं है तो OpenID प्रमाणीकरण को अक्षम करने पर विचार करें।