CVE-2026-82039
Beschrijving NL
UTMStack vóór 11.2.16 bevat een kwetsbaarheid voor SQL-injectie in UtmAssetGroupService.searchQueryBuilder() waarmee geverifieerde aanvallers willekeurige SQL kunnen injecteren door kwaadwillende assetType- en groupName-waarden te leveren die ongeschonden zijn ingevoegd in een native PostgreSQL-query via String.format(). Aanvallers kunnen het eindpunt GET /api/utm-asset-groups/searchGroupsByFilter gebruiken om willekeurige SQL uit te voeren met dBA-privileges, waardoor volledige database-lezing, gegevenswijziging en potentiële toegang tot het bestandssysteem mogelijk is.
Origineel (Engels) tonen
UTMStack before 11.2.16 contains a SQL injection vulnerability in UtmAssetGroupService.searchQueryBuilder() that allows authenticated attackers to inject arbitrary SQL by supplying malicious assetType and groupName values that are inserted unsanitized into a native PostgreSQL query via String.format(). Attackers can exploit the GET /api/utm-asset-groups/searchGroupsByFilter endpoint to execute arbitrary SQL with DBA privileges, enabling full database read, data modification, and potential filesystem access.