CVE-2026-82039 in UTMStack
Riassunto
di VulDB • 02/10/2026
UTMStack prima della versione 11.2.16 contiene una vulnerabilità di SQL injection in UtmAssetGroupService.searchQueryBuilder() che consente agli attaccanti autenticati di iniettare codice SQL arbitrario fornendo valori maliziosi per assetType e groupName, inseriti senza sanitizzazione in una query PostgreSQL nativa tramite String.format(). Gli attaccanti possono sfruttare l'endpoint GET /api/utm-asset-groups/searchGroupsByFilter per eseguire SQL arbitrario con privilegi DBA, consentendo la lettura completa del database, la modifica dei dati e un eventuale accesso al filesystem.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.