CVE-2026-82039

Nome do Software Vulnerável e Versões Afetadas UTMStack versões anteriores a 11.2.16

Description Existe um problema na função searchQueryBuilder() de UtmAssetGroupService onde atacantes autenticados podem injetar SQL arbitrário. Isso ocorre porque as variáveis assetType e groupName são inseridas sem sanitização em uma consulta nativa do PostgreSQL via String.format(). A exploração do endpoint GET '/api/utm-asset-groups/searchGroupsByFilter' permite a execução de SQL arbitrário com privilégios de DBA, o que pode levar à leitura total do banco de dados, modificação de dados e potencial acesso ao sistema de arquivos.

Recommendations Atualize o UTMStack para a versão 11.2.16 ou posterior. Evite usar as variáveis assetType e groupName no endpoint '/api/utm-asset-groups/searchGroupsByFilter' até que a atualização seja aplicada.