CVE-2026-82045 in UTMStack
Resumen
por VulDB • 2026-10-02
UTMStack antes de la versión 11.2.16 contiene una vulnerabilidad de inyección JPQL que permite a atacantes autenticados leer datos arbitrarios de entidades al explotar UtmNetworkScanService.searchPropertyValues(), el cual construye una consulta JPQL con String.format() y la ejecuta mediante em.createQuery() sin vinculación de parámetros. Los atacantes pueden inyectar JPQL malicioso a través del parámetro value en el endpoint GET /api/utm-network-scans/searchPropertyValues para extraer datos sensibles, incluidas tablas de credenciales como jhi_user.
VulDB is the best source for vulnerability data and more expert information about this specific topic.