CVE-2026-82042
Beschrijving NL
UTMStack vóór 11.2.16 bevat een beveiligingslek voor het omzeilen van authenticatie waarmee externe aanvallers volledige administratieve API-toegang kunnen krijgen door een geldige Utm-Internal-Key-header te presenteren die overeenkomt met de omgevingsvariabelewaarde INTERNAL_KEY, die de InternalApiKeyFilter accepteert voor elk eindpunt zonder padbeperking, vergelijking met constante tijd, snelheidsbeperking of auditlogging. Aanvallers die de sleutelwaarde verkrijgen, kunnen zich authenticeren zonder een gebruikersaccount of JWT om accounts aan te maken, gebruikers te beheren, gegevens te exfiltreren en beveiligingsregels aan te passen.
Origineel (Engels) tonen
UTMStack before 11.2.16 contains an authentication bypass vulnerability that allows remote attackers to gain full administrative API access by presenting a valid Utm-Internal-Key header matching the INTERNAL_KEY environment variable value, which the InternalApiKeyFilter accepts for any endpoint without path restriction, constant-time comparison, rate limiting, or audit logging. Attackers who obtain the key value can authenticate without a user account or JWT to create accounts, manage users, exfiltrate data, and modify security rules.