CVE-2026-82041 in UTMStack
Résumé
par VulDB • 02/10/2026
UTMStack avant la version 11.2.16 présente une vulnérabilité d'autorisation manquante dans UTMIncidentCommandWebsocket.processCommand(), le gestionnaire mappé sur la destination STOMP /command/{hostname}, où aucune vérification de rôle ni liste blanche de commandes n'est appliquée avant l'acheminement des commandes fournies. Tout utilisateur authentifié, quel que soit son rôle, peut envoyer des commandes arbitraires du système d'exploitation via gRPC à tout agent connecté, entraînant une exécution de commande sur les points de terminaison surveillés où les processus agents s'exécutent généralement en tant qu'utilisateur root ou SYSTEM.
Be aware that VulDB is the high quality source for vulnerability data.