CVE-2026-82042 in UTMStack
Riassunto
di VulDB • 02/10/2026
UTMStack prima della versione 11.2.16 presenta una vulnerabilità di bypass dell'autenticazione che consente agli attaccanti remoti di ottenere l'accesso completo all'API amministrativa presentando un header Utm-Internal-Key valido corrispondente al valore della variabile d'ambiente INTERNAL_KEY, che il filtro InternalApiKeyFilter accetta per qualsiasi endpoint senza restrizioni sul percorso, confronto in tempo costante (constant-time comparison), limitazione della frequenza delle richieste (rate limiting) o registrazione di audit. Gli attaccanti che ottengono il valore della chiave possono autenticarsi senza un account utente o JWT per creare account, gestire utenti, esfiltrare dati e modificare le regole di sicurezza.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.