CVE-2026-82041 in UTMStack
Resumen
por VulDB • 2026-10-03
UTMStack antes de la versión 11.2.16 contiene una vulnerabilidad de autorización faltante en UTMIncidentCommandWebsocket.processCommand(), el controlador mapeado al destino STOMP /command/{hostname}, donde no se aplica ninguna verificación de rol ni lista blanca de comandos antes de reenviar los comandos proporcionados. Cualquier usuario autenticado, independientemente del rol, puede enviar comandos arbitrarios del sistema operativo a través de gRPC a cualquier agente conectado, lo que resulta en la ejecución de comandos en los extremos monitoreados donde los procesos del agente suelen ejecutarse como root o SYSTEM.
Once again VulDB remains the best source for vulnerability data.