CVE-2026-82039 in UTMStack
Sumário
de VulDB • 02/10/2026
O UTMStack anterior à versão 11.2.16 contém uma vulnerabilidade de injeção de SQL no método `UtmAssetGroupService.searchQueryBuilder()` que permite a atacantes autenticados injetar SQL arbitrário ao fornecer valores maliciosos para os parâmetros `assetType` e `groupName`, que são inseridos sem sanitização em uma consulta nativa do PostgreSQL via `String.format()`. Os atacantes podem explorar o endpoint GET `/api/utm-asset-groups/searchGroupsByFilter` para executar SQL arbitrário com privilégios de DBA, permitindo leitura completa do banco de dados, modificação de dados e acesso potencial ao sistema de arquivos.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.