漏洞总结 漏洞概述 CERT Polska 收到关于 Sparx Systems 软件中多个安全漏洞的报告，并参与了披露协调。主要漏洞包括： 1. CVE-2026-42096：Pro Cloud Server 存在 Broken Access Control 漏洞，由于权限检查缺失，任何低权限用户可在数据库用户上下文中执行任意 SQL 查询。 2. CVE-2026-42097：Pro Cloud Server 存在 Authorization Bypass 漏洞，攻击者可通过省略 URL 中的 "model" 参数并发送包含恶意 SQL 查询的 POST 请求来绕过认证。 3. CVE-2026-42098：Enterprise Architect 存在 Client-Side Authentication 漏洞，允许认证用户修改客户端行为（如使用调试器）并登录为其他用户或管理员，从而对仓库进行任意操作。 4. CVE-2026-42099：Pro Cloud Server 存在 Race Condition 漏洞，在 端点中，攻击者可利用文件处理过程中的竞态条件执行恶意 PHP 文件。 5. CVE-2026-42100：Pro Cloud Server 存在 Improper Handling of Syntactically Invalid Structure 漏洞，允许通过特制 SQL 查询执行 DoS 攻击。 影响范围 Pro Cloud Server：所有 6.1 及以下版本 Enterprise Architect：所有 17.1 及以下版本 修复方案 厂商未提供具体修复细节或受影响版本范围 仅 Pro Cloud Server 6.1 (build 167) 及以下版本和 Enterprise Architect 17.1 及以下版本经过测试并确认为受影响 其他版本未经过测试，可能同样存在漏洞 补充信息 漏洞报告由 Blazej Adamczyk (br0x) 从 Efigo 提交 更多协调漏洞披露流程信息可访问：https://cert.pl/en/evul/