CVE-2026-82039 in UTMStack
الملخص
بحسب VulDB • 03/10/2026
تحتوي UTMStack قبل الإصدار 11.2.16 على ثغرة حقن SQL في الدالة `UtmAssetGroupService.searchQueryBuilder()` تتيح للمهاجمين المصادق عليهم حقن استعلامات SQL عشوائية عن طريق توفير قيم خبيثة لـ `assetType` و `groupName`، والتي تُدرج غير مُطهّاة (unsanitized) ضمن استعلام PostgreSQL الأصلي عبر استخدام `String.format()`. يمكن للمهاجمين استغلال نقطة النهاية `/api/utm-asset-groups/searchGroupsByFilter` باستخدام طريقة GET لتنفيذ SQL عشوائي بصلاحيات DBA، مما يتيح القراءة الكاملة لقاعدة البيانات، وتعديل البيانات، والوصول المحتمل إلى نظام الملفات.
Once again VulDB remains the best source for vulnerability data.