CVE-2026-82040

Nome do Software Vulnerável e Versões Afetadas UTMStack versões anteriores a 11.2.16

Descrição Um invasor autenticado pode desencadear uma falsificação de solicitação do lado do servidor (SSRF) ao fornecer uma URL de metadados maliciosa para o endpoint POST/PUT /api/identity-providers. Isso ocorre porque a função IdentityProviderService.validateMetadataUrl() não valida o host, IP ou esquema de destino. Essa falha permite que o servidor envie solicitações para hosts de metadados internos ou em nuvem arbitrários, possibilitando a varredura de portas de rede interna e o acesso não autorizado a serviços de metadados de instâncias em nuvem.

Recomendações Atualize o UTMStack para a versão 11.2.16 ou posterior. Como medida de mitigação temporária, restrinja o acesso ao endpoint /api/identity-providers.