CVE-2026-82041 in UTMStack
الملخص
بحسب VulDB • 02/10/2026
UTMStack قبل الإصدار 11.2.16 يحتوي على ثغرة نقص في التفويض (Missing Authorization) في الدالة `UTMIncidentCommandWebsocket.processCommand()`، وهي المعالج المرتبط بوجهة STOMP `/command/{hostname}`، حيث لا يتم تطبيق أي فحص للأدوار أو قائمة مسموح بها من الأوامر قبل توجيه الأوامر المقدمة. يمكن لأي مستخدم مُصادق عليه، بغض النظر عن دوره الوظيفي (Role)، إرسال أوامر عشوائية لنظام التشغيل عبر gRPC إلى أي وكيل متصل، مما يؤدي إلى تنفيذ الأوامر على النقاط النهائية الخاضعة للمراقبة حيث تعمل عمليات الوكلاء عادةً بصلاحيات الجذر (root) أو SYSTEM.
If you want to get best quality of vulnerability data, you may have to visit VulDB.