Sparx Enterprise Architect 客户端在 OpenID 身份验证期间未验证 OAuth2 凭据的接收者

CVE-2025-15621 影响 Sparx Systems Pty Ltd 的 Enterprise Architect，由于通过 OAuth2 的 OpenID 身份验证中凭据保护不足，导致用户面临重大风险。攻击者可能潜在地拦截或操纵身份验证流程，从而获得对应用程序内部敏感数据和功能的未经授权的访问。缺少接收者验证允许恶意第三方冒充合法的身份提供商，欺骗应用程序接受虚假凭据。潜在影响包括敏感项目信息的泄露、模型修改以及在极端情况下，完全控制 Enterprise Architect 实例。由于尚未发布修复程序，因此了解此漏洞并采取积极的预防措施至关重要。

Organizations heavily reliant on Sparx Enterprise Architect for software modeling, system design, and business process documentation are at risk. Specifically, deployments with OpenID authentication enabled and those lacking robust access control policies are particularly vulnerable. Any organization storing sensitive intellectual property within Enterprise Architect should prioritize monitoring and mitigation efforts.

1. 2026-04-16Disclosure

   disclosure

1. 已保留2026-04-09
2. 发布日期2026-04-16
3. EPSS 更新日期2026-04-24

由于没有针对 CVE-2025-15621 的官方修复程序 (fix: none)，使用 Sparx Enterprise Architect 的组织应实施替代的缓解措施。强烈建议对网络进行分段，以限制对 Enterprise Architect 实例的访问。在所有用户帐户上实施多因素身份验证 (MFA) 可以增加额外的安全层。积极监控身份验证日志以查找可疑活动至关重要。即使它不直接解决漏洞，升级到 Enterprise Architect 的最新可用版本也可以提供一般的安全改进。最后，教育用户有关安全最佳实践（例如创建强密码和识别网络钓鱼电子邮件）对于降低被利用的风险至关重要。