PT-2026-41893 · Sparx Systems · Sparx Pro Cloud Server

CVE-2026-42097 · Publicado 2026-05-19 · Atualizado 2026-06-02

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Sparx Pro Cloud Server versões 6.1 (build 167) e anteriores

Descrição A autenticação é exigida com base na URL solicitada. Um invasor pode ignorar essa verificação omitindo o parâmetro de consulta model e fornecendo o nome do modelo apenas dentro do blob binário de uma requisição POST, o que permite a execução de consultas SQL sem autenticação. Isso pode levar ao acesso não autorizado ao banco de dados e à manipulação de dados.

Recomendações Restrinja a exposição externa do servidor para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Exploit

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-42097

Produtos afetados

Sparx Pro Cloud Server

Referências · 9

• 🔥 https://sploit.tech/2026/05/19/Sparx-Enterprise-Architect-PCS.html · Exploit
• https://efigo.pl/blog/CVE-2026-42096 · Nota
• https://twitter.com/UpwindMDR/status/2056865474269364605 · Publicação no Twitter
• https://twitter.com/CCBalert/status/2057376285249142850 · Publicação no Twitter
• https://sparxsystems.com/products/procloudserver · Nota
• https://twitter.com/dailycve/status/2061854907682939363 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2056870238432448704 · Publicação no Twitter
• https://cert.pl/en/posts/2026/05/CVE-2026-42096 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-42097 · Nota de Segurança