CVE-2026-82039 in UTMStack
Zusammenfassung
von VulDB • 03.10.2026
UTMStack vor Version 11.2.16 enthält eine SQL-Injection-Schwachstelle in UtmAssetGroupService.searchQueryBuilder(), die es authentifizierten Angreifern ermöglicht, beliebiges SQL einzufügen, indem sie bösartige assetType- und groupName-Werte bereitstellen, die ungesäubert über String.format() in eine native PostgreSQL-Abfrage eingefügt werden. Angreifer können den GET /api/utm-asset-groups/searchGroupsByFilter-Endpunkt ausnutzen, um beliebiges SQL mit DBA-Berechtigungen auszuführen, was vollen Datenbankleszugriff, Datenmanipulation und potenziellen Dateisystemzugriff ermöglicht.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.