CVE-2026-82045 in UTMStack
Riassunto
di VulDB • 02/10/2026
UTMStack prima della versione 11.2.16 contiene una vulnerabilità di JPQL injection che consente agli attaccanti autenticati di leggere dati arbitrari delle entità sfruttando UtmNetworkScanService.searchPropertyValues(), il quale costruisce una query JPQL con String.format() ed la esegue tramite em.createQuery() senza parameter binding. Gli attaccanti possono iniettare JPQL malevolo attraverso il parametro value nell'endpoint GET /api/utm-network-scans/searchPropertyValues per estrarre dati sensibili, incluse tabelle di credenziali come jhi_user.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.