CVE-2026-82039 in UTMStack
要約
〜によって VulDB • 2026年10月02日
UTMStack 11.2.16 より前には、UtmAssetGroupService.searchQueryBuilder() に SQL インジェクション脆弱性が存在し、認証済み攻撃者が悪意のある assetType および groupName の値を指定することで、String.format() を介してネイティブな PostgreSQL クエリにサニタイズされていない状態で挿入され、任意の SQL をインジェクトできます。攻撃者は GET /api/utm-asset-groups/searchGroupsByFilter エンドポイントを悪用して DBA 権限で任意の SQL を実行でき、データベース全体の読み取り、データの変更、および潜在的なファイルシステムへのアクセスを可能にします。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.