CVE-2026-82040

UTMStack w wersjach przed 11.2.16 zawiera podatność na wstrzyknięcie JPQL. Uwierzytelniony atakujący może odczytać dowolne dane encji, wstrzykując złośliwe zapytanie JPQL przez parametr value w punkcie końcowym GET /api/utm-network-scans/searchPropertyValues, ponieważ zapytanie jest budowane przez String.format() bez wiązania parametrów.

UTMStack przed wersją 11.2.16 zawiera podatność na podrabianie żądań po stronie serwera (SSRF), która pozwala uwierzytelnionym atakującym na zmuszenie serwera do żądania dowolnych wewnętrznych zasobów poprzez podanie niezweryfikowanego parametru url w metodzie PdfService.downloadPdf() udostępnianej przez GET /api/generate-pdf-report. Atakujący mogą to wykorzystać do zmuszenia mikroserwisu web-pdf do pobierania wewnętrznych punktów końcowych backendu, klastra OpenSearch lub usługi metadanych instancji chmury, ujawniając wrażliwe dane wewnętrzne renderowane w zwracanym pliku PDF.

UTMStack w wersjach przed 11.2.16 zawiera podatność na enumerację kont. Nieuwierzytelniony atakujący może ustalić zarejestrowane adresy e-mail, obserwując różne odpowiedzi HTTP z punktu końcowego POST /api/account/reset-password/init.

UTMStack przed wersją 11.2.16 zawiera podatność na wstrzykiwanie SQL w metodzie UtmAssetGroupService.searchQueryBuilder(). Uwierzytelniony atakujący może wstrzyknąć dowolny kod SQL, podając złośliwe wartości assetType i groupName, które są niebezpiecznie wstawiane do natywnego zapytania PostgreSQL. Atak można przeprowadzić przez endpoint GET /api/utm-asset-groups/searchGroupsByFilter, co pozwala na wykonanie dowolnego SQL z uprawnieniami DBA.

UTMStack w wersjach przed 11.2.16 zawiera podatność obejścia uwierzytelniania, która pozwala zdalnym atakującym uzyskać pełny dostęp administracyjny do API poprzez przedstawienie nagłówka Utm-Internal-Key zgodnego ze zmienną środowiskową INTERNAL_KEY. Filtr InternalApiKeyFilter akceptuje ten klucz dla dowolnego punktu końcowego bez ograniczeń ścieżki, porównania w stałym czasie, ograniczania liczby prób ani rejestrowania audytu. Atakujący, który pozna wartość klucza, może uwierzytelnić się bez konta użytkownika lub JWT, tworzyć konta, zarządzać użytkownikami, eksfiltrować dane i modyfikować reguły bezpieczeństwa.

UTMStack w wersjach przed 11.2.16 zawiera podatność braku autoryzacji w metodzie UTMIncidentCommandWebsocket.processCommand(), obsługującej cel STOMP /command/{hostname}, gdzie przed przekazaniem dostarczonych poleceń nie stosuje się sprawdzenia roli ani listy dozwolonych poleceń. Każdy uwierzytelniony użytkownik, niezależnie od roli, może wysyłać dowolne polecenia systemu operacyjnego przez gRPC do dowolnego podłączonego agenta, co skutkuje wykonaniem poleceń na monitorowanych punktach końcowych, gdzie procesy agenta często działają jako root lub SYSTEM.