CVE-2026-42097

Sparx Pro Cloud Server — SQL injection bez uwierzytelnienia przez pominięcie parametru

CVSS 9.3v4.0pub. 2026-05-19upd. 2026-06-02

Sparx Pro Cloud Server posiada krytyczną podatność umożliwiającą wykonanie zapytań SQL bez uwierzytelnienia. Atakujący może ominąć mechanizm weryfikacji tożsamości poprzez sprytne sformułowanie żądania HTTP, uzyskując nieautoryzowany dostęp do bazy danych.

▸ Pokaż oryginał (EN)

Sparx Pro Cloud Server requires authentication based on requested URL. An attacker can omit the "model" query parameter and send the model name only in the binary blob in POST request allowing SQL query execution without authentication. The vendor was notified early about this vulnerability, but didn't respond with the details of vulnerability or vulnerable version range. Only version 6.1 (build 167) and below were tested and confirmed as vulnerable, other versions were not tested and might also be vulnerable.

🤖 Analiza AI

Jak działa

Aplikacja weryfikuje tożsamość użytkownika na podstawie parametru 'model' zawartego w adresie URL żądania. Atakujący może pominąć ten parametr w URL i zamiast tego umieścić nazwę modelu wyłącznie w binarnej zawartości (blob) ciała żądania POST. Mechanizm uwierzytelnienia nie analizuje poprawnie tej alternatywnej ścieżki, w wyniku czego zapytanie SQL trafia do bazy danych bez uprzedniej weryfikacji tożsamości żądającego. Jest to podatność sklasyfikowana jako CWE-639 (Authorization Bypass Through User-Controlled Key) z elementem SQL injection.

Skutki

Nieuwierzytelniony atakujący zdalnie może wykonywać dowolne zapytania SQL w bazie danych serwera, co może prowadzić do nieuprawnionego odczytu oraz modyfikacji przechowywanych danych, w tym potencjalnie wrażliwych danych modelowania architektonicznego.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Producent nie odpowiedział na zgłoszenie podatności, dlatego zaleca się ograniczenie dostępu sieciowego do instancji Sparx Pro Cloud Server (np. przez firewall lub VPN) oraz monitorowanie ruchu HTTP pod kątem podejrzanych żądań POST do momentu wydania oficjalnej poprawki.

Kogo dotyczy

Sparx Pro Cloud Server w wersji 6.1 (build 167) i niższych — potwierdzone podatnością. Inne wersje nie były testowane i mogą być również podatne. Producent nie dostarczył informacji o zakresie podatnych wersji.

Uwagi

Producent (Sparx Systems) został wcześnie powiadomiony o podatności, jednak nie udzielił odpowiedzi zawierającej szczegóły techniczne ani informacji o zakresie podatnych wersji. Podatność została opublikowana m.in. przez CERT Polska oraz badaczy z efigo.pl i sploit.tech.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X