CVE-2026-82044

UTMStack w wersjach przed 11.2.16 zawiera podatność na wstrzyknięcie JPQL. Uwierzytelniony atakujący może odczytać dowolne dane encji, wstrzykując złośliwe zapytanie JPQL przez parametr value w punkcie końcowym GET /api/utm-network-scans/searchPropertyValues, ponieważ zapytanie jest budowane przez String.format() bez wiązania parametrów.

UTMStack w wersjach przed 11.2.16 zawiera podatność na enumerację kont. Nieuwierzytelniony atakujący może ustalić zarejestrowane adresy e-mail, obserwując różne odpowiedzi HTTP z punktu końcowego POST /api/account/reset-password/init.

UTMStack w wersjach przed 11.2.16 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w IdentityProviderService.validateMetadataUrl(). Uwierzytelniony atakujący może zmusić serwer do wysyłania żądań do dowolnych wewnętrznych lub chmurowych hostów metadanych, podając złośliwy adres URL metadanych w punkcie końcowym identity-providers.

UTMStack przed wersją 11.2.16 zawiera podatność na wstrzykiwanie SQL w metodzie UtmAssetGroupService.searchQueryBuilder(). Uwierzytelniony atakujący może wstrzyknąć dowolny kod SQL, podając złośliwe wartości assetType i groupName, które są niebezpiecznie wstawiane do natywnego zapytania PostgreSQL. Atak można przeprowadzić przez endpoint GET /api/utm-asset-groups/searchGroupsByFilter, co pozwala na wykonanie dowolnego SQL z uprawnieniami DBA.

UTMStack w wersjach przed 11.2.16 zawiera podatność obejścia uwierzytelniania, która pozwala zdalnym atakującym uzyskać pełny dostęp administracyjny do API poprzez przedstawienie nagłówka Utm-Internal-Key zgodnego ze zmienną środowiskową INTERNAL_KEY. Filtr InternalApiKeyFilter akceptuje ten klucz dla dowolnego punktu końcowego bez ograniczeń ścieżki, porównania w stałym czasie, ograniczania liczby prób ani rejestrowania audytu. Atakujący, który pozna wartość klucza, może uwierzytelnić się bez konta użytkownika lub JWT, tworzyć konta, zarządzać użytkownikami, eksfiltrować dane i modyfikować reguły bezpieczeństwa.

UTMStack w wersjach przed 11.2.16 zawiera podatność braku autoryzacji w metodzie UTMIncidentCommandWebsocket.processCommand(), obsługującej cel STOMP /command/{hostname}, gdzie przed przekazaniem dostarczonych poleceń nie stosuje się sprawdzenia roli ani listy dozwolonych poleceń. Każdy uwierzytelniony użytkownik, niezależnie od roli, może wysyłać dowolne polecenia systemu operacyjnego przez gRPC do dowolnego podłączonego agenta, co skutkuje wykonaniem poleceń na monitorowanych punktach końcowych, gdzie procesy agenta często działają jako root lub SYSTEM.