CVE-2025-15624

Plaintext Storage haseł w Sparx Pro Cloud Server z OpenID

CVSS 9.3v4.0pub. 2026-04-17upd. 2026-06-02

Sparx Pro Cloud Server przechowuje lokalnie wygenerowane hasła użytkowników w postaci niezaszyfrowanego tekstu jawnego (plaintext), gdy jako podstawowa metoda uwierzytelniania skonfigurowano OpenID. Jest to podatność klasy CWE-256, która naraża dane uwierzytelniające na ujawnienie w przypadku uzyskania dostępu do systemu.

▸ Pokaż oryginał (EN)

Plaintext Storage of a Password vulnerability in Sparx Systems Pty Ltd. Sparx Pro Cloud Server. In a setup where OpenID is used as the primary method of authentication to authenticate to Sparx EA, Pro Cloud Server creates local passwords to the users and stores them in plaintext.

🤖 Analiza AI

Jak działa

W konfiguracji, w której OpenID stanowi główną metodę logowania do Sparx EA przez Pro Cloud Server, aplikacja tworzy lokalnych użytkowników i generuje dla nich hasła. Wygenerowane hasła są następnie zapisywane w magazynie danych w postaci plaintext, bez zastosowania mechanizmów hashowania ani szyfrowania. Atakujący lub nieuprawniona osoba z dostępem do bazy danych bądź plików konfiguracyjnych serwera może odczytać te hasła bezpośrednio, bez konieczności ich łamania.

Skutki

Atakujący posiadający dostęp do systemu plików lub bazy danych serwera może odczytać hasła wszystkich lokalnych kont użytkowników w postaci jawnej, co umożliwia przejęcie kont i nieautoryzowany dostęp do środowiska Sparx EA.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — historia wydań Sparx Pro Cloud Server 6.1 dostępna jest pod adresem https://sparxsystems.com/products/procloudserver/6.1/history.html. Do czasu aktualizacji zaleca się ograniczenie dostępu do plików konfiguracyjnych i bazy danych serwera wyłącznie do uprawnionych administratorów oraz monitorowanie dostępu do tych zasobów.

Kogo dotyczy

Sparx Pro Cloud Server — wersje wskazane w referencjach producenta (historia wydań dostępna pod adresem: https://sparxsystems.com/products/procloudserver/6.1/history.html); problem dotyczy konfiguracji z włączonym OpenID jako podstawową metodą uwierzytelniania.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:P/AU:Y/R:X/V:C/RE:M/U:Red