CVE-2026-82045: UTMStack, инжекция

7.1

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

Експлоатация: няма данни за експлоатация
Атаката не може да се автоматизира

Описание

Оригинално описание

UTMStack before 11.2.16 contains a JPQL injection vulnerability that allows authenticated attackers to read arbitrary entity data by exploiting UtmNetworkScanService.searchPropertyValues(), which builds a JPQL query with String.format() and executes it via em.createQuery() without parameter binding. Attackers can inject malicious JPQL through the value parameter in the GET /api/utm-network-scans/searchPropertyValues endpoint to extract sensitive data including credential tables such as jhi_user.

Засегнати продукти

UTMStack UTMStack: преди 11.2.16

Вид слабост

CWE-89 SQL инжекция

История

2 октомври 2026 Публикувано

CVE-2026-82045: UTMStack, инжекция

Описание

Засегнати продукти

Вид слабост

История

Други уязвимости в UTMStack UTMStack

Първоизточници