CVE-2026-82045
Beschrijving NL
UTMStack vóór 11.2.16 bevat een JPQL-injectiekwetsbaarheid waarmee geverifieerde aanvallers willekeurige entiteitsgegevens kunnen lezen door gebruik te maken van UtmNetworkScanService.searchPropertyValues(), die een JPQL-query bouwt met String.format() en deze uitvoert viaem.createQuery () zonder parameterbinding. Aanvallers kunnen kwaadaardige JPQL injecteren via de waardeparameter in het GET /api/utm-network-scans/searchPropertyValues-eindpunt om gevoelige gegevens te extraheren, waaronder inlogtabellen zoals jhi_user.
Origineel (Engels) tonen
UTMStack before 11.2.16 contains a JPQL injection vulnerability that allows authenticated attackers to read arbitrary entity data by exploiting UtmNetworkScanService.searchPropertyValues(), which builds a JPQL query with String.format() and executes it via em.createQuery() without parameter binding. Attackers can inject malicious JPQL through the value parameter in the GET /api/utm-network-scans/searchPropertyValues endpoint to extract sensitive data including credential tables such as jhi_user.