CVE-2026-82045 in UTMStack
Résumé
par VulDB • 03/10/2026
UTMStack avant la version 11.2.16 contient une vulnérabilité d'injection JPQL qui permet aux attaquants authentifiés de lire des données arbitraires en exploitant UtmNetworkScanService.searchPropertyValues(), qui construit une requête JPQL avec String.format() et l'exécute via em.createQuery() sans liaison de paramètres. Les attaquants peuvent injecter du code JPQL malveillant via le paramètre value dans le point d'entrée GET /api/utm-network-scans/searchPropertyValues afin d'extraire des données sensibles, y compris les tables d'identifiants telles que jhi_user.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.