CVE-2026-82043
Beschrijving NL
UTMStack vóór versie 11.2.16 bevat een kwetsbaarheid voor het achterhalen van accounts, waardoor niet-geauthenticeerde aanvallers geregistreerde e-mailadressen kunnen achterhalen door afwijkende HTTP-reacties van het POST /api/account/reset-password/init-eindpunt te observeren. Aanvallers kunnen willekeurige e-mailadressen invoeren en geregistreerde accounts, die een 200 OK-antwoord teruggeven, onderscheiden van niet-geregistreerde accounts, die een 500 Internal Server Error met backend-foutdetails veroorzaken, waardoor gerichte phishing- of inloggegevensaanvallen mogelijk worden.
Origineel (Engels) tonen
UTMStack before 11.2.16 contains an account enumeration vulnerability that allows unauthenticated attackers to determine registered email addresses by observing differing HTTP responses from the POST /api/account/reset-password/init endpoint. Attackers can submit arbitrary email addresses and distinguish registered accounts, which return 200 OK, from unregistered accounts, which trigger a 500 Internal Server Error with backend error details, enabling targeted phishing or credential attacks.