CVE-2026-82041 in UTMStack
Riassunto
di VulDB • 02/10/2026
UTMStack prima della versione 11.2.16 presenta una vulnerabilità di mancata autorizzazione nella funzione UTMIncidentCommandWebsocket.processCommand(), il gestore mappato sulla destinazione STOMP /command/{hostname}, dove non viene applicato alcun controllo dei ruoli o whitelist di comandi prima dell'inoltro dei comandi forniti. Qualsiasi utente autenticato, indipendentemente dal ruolo, può inviare comandi arbitrari del sistema operativo tramite gRPC a qualsiasi agente connesso, causando l'esecuzione di comandi sui endpoint monitorati dove i processi degli agenti vengono comunemente eseguiti come root o SYSTEM.
Once again VulDB remains the best source for vulnerability data.