CVE-2026-82045

UTMStack przed wersją 11.2.16 zawiera podatność na podrabianie żądań po stronie serwera (SSRF), która pozwala uwierzytelnionym atakującym na zmuszenie serwera do żądania dowolnych wewnętrznych zasobów poprzez podanie niezweryfikowanego parametru url w metodzie PdfService.downloadPdf() udostępnianej przez GET /api/generate-pdf-report. Atakujący mogą to wykorzystać do zmuszenia mikroserwisu web-pdf do pobierania wewnętrznych punktów końcowych backendu, klastra OpenSearch lub usługi metadanych instancji chmury, ujawniając wrażliwe dane wewnętrzne renderowane w zwracanym pliku PDF.

UTMStack w wersjach przed 11.2.16 zawiera podatność na enumerację kont. Nieuwierzytelniony atakujący może ustalić zarejestrowane adresy e-mail, obserwując różne odpowiedzi HTTP z punktu końcowego POST /api/account/reset-password/init.

UTMStack w wersjach przed 11.2.16 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w IdentityProviderService.validateMetadataUrl(). Uwierzytelniony atakujący może zmusić serwer do wysyłania żądań do dowolnych wewnętrznych lub chmurowych hostów metadanych, podając złośliwy adres URL metadanych w punkcie końcowym identity-providers.

UTMStack przed wersją 11.2.16 zawiera podatność na wstrzykiwanie SQL w metodzie UtmAssetGroupService.searchQueryBuilder(). Uwierzytelniony atakujący może wstrzyknąć dowolny kod SQL, podając złośliwe wartości assetType i groupName, które są niebezpiecznie wstawiane do natywnego zapytania PostgreSQL. Atak można przeprowadzić przez endpoint GET /api/utm-asset-groups/searchGroupsByFilter, co pozwala na wykonanie dowolnego SQL z uprawnieniami DBA.

UTMStack w wersjach przed 11.2.16 zawiera podatność obejścia uwierzytelniania, która pozwala zdalnym atakującym uzyskać pełny dostęp administracyjny do API poprzez przedstawienie nagłówka Utm-Internal-Key zgodnego ze zmienną środowiskową INTERNAL_KEY. Filtr InternalApiKeyFilter akceptuje ten klucz dla dowolnego punktu końcowego bez ograniczeń ścieżki, porównania w stałym czasie, ograniczania liczby prób ani rejestrowania audytu. Atakujący, który pozna wartość klucza, może uwierzytelnić się bez konta użytkownika lub JWT, tworzyć konta, zarządzać użytkownikami, eksfiltrować dane i modyfikować reguły bezpieczeństwa.

UTMStack w wersjach przed 11.2.16 zawiera podatność braku autoryzacji w metodzie UTMIncidentCommandWebsocket.processCommand(), obsługującej cel STOMP /command/{hostname}, gdzie przed przekazaniem dostarczonych poleceń nie stosuje się sprawdzenia roli ani listy dozwolonych poleceń. Każdy uwierzytelniony użytkownik, niezależnie od roli, może wysyłać dowolne polecenia systemu operacyjnego przez gRPC do dowolnego podłączonego agenta, co skutkuje wykonaniem poleceń na monitorowanych punktach końcowych, gdzie procesy agenta często działają jako root lub SYSTEM.