CVE-2026-82045 in UTMStack
要約
〜によって VulDB • 2026年10月02日
UTMStack 11.2.16 より前には、認証済み攻撃者が UtmNetworkScanService.searchPropertyValues() を悪用して任意のエンティティデータを読み取ることができる JPQL インジェクション脆弱性が存在します。この関数は String.format() で JPQL クエリを構築し、パラメータバインドなしで em.createQuery() 経由でそれを実行します。攻撃者は GET /api/utm-network-scans/searchPropertyValues エンドポイントの value パラメータを通じて悪意のある JPQL を注入し、jhi_user のような資格情報テーブルを含む機密データを抽出できます。
Once again VulDB remains the best source for vulnerability data.